Promemoria: firma digitale per i pacchetti Debian

Scrivo questo breve post per avere sempre a portata di mouse la procedura che consente di aggiungere una nuova firma digitale al gestore dei pacchetti di Debian (e sue derivate).
Mi capita spesso, infatti, di installare (o reinstallare) Debian sui miei pc o su quelli degli amici, ed ogni volta mi dimentico di come si fa a dire ad apt che deve “fidarsi” dei pacchetti che scarica dai repository che gli dico io.

Un wiki, molto più completo e dettagliato di questo mio promemoria, lo trovate QUI. Vi troverete anche una spiegazione abbastanza sommaria sulla crittografia a chiave pubblica e su cos’è la firma digitale.

Di seguito descrivo passo passo cosa accade quando si aggiungono i repository Debian-Multimedia sulla release testing di Debian (attualmente si tratta di Lenny).

UPDATE (18 maggio 2008): se il vostro unico scopo è quello di aggiungere le chiavi per il repository di debian-multimedia, evitate la trafila seguente e guardate direttamente QUI!

Per prima cosa apriamo un terminale ed assumiamo i privilegi di amministratore col comando su - (vi verrà ovviamente chiesta la password di root).

Ora apriamo con un editor di testo, ad esempio Jed (il mio preferito), il file /etc/apt/sources.list ed aggiungiamo la riga(*):

deb http://www.debian-multimedia.org testing main

Salviamo il file ed usciamo dall’editor.

Ora diamo il comando apt-get update per aggiornare la lista dei pacchetti. Al completamento dell’operazione riceveremo un messaggio del genere:

W: GPG error: http://www.debian-multimedia.org lenny Release: Le seguenti firme non sono state verificate perché la chiave pubblica non è disponibile: NO_PUBKEY 07DC563D1F41B907
W: È consigliabile eseguire apt-get update per correggere questi problemi

E’ successo che apt-get non può verificare la firma digitale dei pacchetti del repository Debian-Multimedia perché non conosce la chiave (pubblica) il cui ID è 1F41B907 (cioè la seconda metà di quel numerone segnalato nell’avvertimento). Allora dobbiamo fare in modo di dire ad apt quale sia questa chiave pubblica. Questo si fa con il comando apt-key, che si occupa di gestire le chiavi utilizzate da apt. Vediamo come.

Recuperiamo la chiave che ci serve, scaricandola da un opportuno “key-server”, ad esempio pgpkeys.mit.edu; dobbiamo dire al server che vogliamo la chiave il cui ID è 1F41B907; il comando è il seguente:

gpg --keyserver pgpkeys.mit.edu --recv-key 1F41B907

Ora aggiungiamo al nostro “portachiavi” la chiave appena ottenuta:

gpg -a --export 1F41B907 | apt-key add -

Non badate ad avvertimenti del tipo “gpg: no ultimately trusted keys found”.

Perfetto! Ora la chiave pubblica del repository Debian-Multimedia è nota al nostro gestore di pacchetti, e quindi il comando apt-get update non ci avviserà più del fatto che non può verificare la firma digitale dei pacchetti.

Ora potete scaricare in tutta tranquillità, con apt-get o Synaptic (o chi per essi), i pacchetti che desiderate anche dai repository Debian-Multimedia.

(*) Piuttosto che usare l’indirizzo indicato, è preferibile utilizzare un mirror che sia il più possibile vicino a noi. Ad esempio per l’Italia si può usare il seguente mirror:

deb http://mi.mirror.garr.it/mirrors/debian-multimedia testing main

Questo soprattutto per non sovraccaricare il server centrale

Nota: questo articolo è stato già pubblicato su Gica & Oltre il 31 agosto 2007.

Saluti da Gica