Vérification locale

À votreterminal !

Notes de vérification détachées pour le manifeste d'intégrité signé. Exécutez le contrôle dans un trousseau temporaire afin que la clé publique de signature n'entre pas dans votre trousseau principal.

tmpdir="$(mktemp -d)"
export GNUPGHOME="$tmpdir"

ts=$(date +%s)
curl -fsS "https://trentpower.fr/integrity.json?ts=$ts" -o integrity.json
curl -fsS "https://trentpower.fr/integrity.json.sig?ts=$ts" -o integrity.json.sig
curl -fsS "https://trentpower.fr/.well-known/pgp-key.asc?ts=$ts" | gpg --import
gpg --verify integrity.json.sig integrity.json

rm -rf "$tmpdir" integrity.json integrity.json.sig

La commande importe la clé publique dans un trousseau jetable, vérifie le manifeste signé et supprime les fichiers de travail. Aucun état ne subsiste sur la machine ensuite.