Vérifier localement · Trent Power
Author: Trent Power
Description: Notes de vérification détachées : contrôle du manifeste signé depuis un trousseau temporaire

Skip to content

Vérification locale

# À votreterminal !

Notes de vérification détachées pour le manifeste d'intégrité signé. Exécutez le contrôle dans un trousseau temporaire afin que la clé publique de signature n'entre pas dans votre trousseau principal.

    tmpdir="$(mktemp -d)"
    export GNUPGHOME="$tmpdir"

    ts=$(date +%s)
    curl -fsS "https://trentpower.fr/integrity.json?ts=$ts" -o integrity.json
    curl -fsS "https://trentpower.fr/integrity.json.sig?ts=$ts" -o integrity.json.sig
    curl -fsS "https://trentpower.fr/.well-known/pgp-key.asc?ts=$ts" | gpg --import
    gpg --verify integrity.json.sig integrity.json

    rm -rf "$tmpdir" integrity.json integrity.json.sig

La commande importe la clé publique dans un trousseau jetable, vérifie le manifeste signé et supprime les fichiers de travail. Aucun état ne subsiste sur la machine ensuite.

01 Trousseau temporaire

Utilisez un GNUPGHOME temporaire pour ne pas toucher à votre trousseau principal.

02 Importer la clé publique

curl /.well-known/pgp-key.asc · gpg --import pgp-key.asc.

03 Vérifier la signature

gpg --verify integrity.json.sig integrity.json - attendre Good signature.

04 Contrôler le manifeste

/integrity.json liste chaque fichier public avec son empreinte SHA-256.

05 Comparer les sommes

Re-hachez un fichier et comparez avec l’entrée du manifeste.

06 Notes de reproductibilité

Chaque édition signée est figée dans /integrity/releases/. Aucun actif mutable.

En Construction