Vérifier la signature de Tor Browser avant l’installation

Vérifier la signature de Tor Browser avant l’installation

Téléchargez le paquet pour ordinateur depuis la page officielle du Tor Project en choisissant votre système et votre architecture. Enregistrez aussi la signature associée. Elle porte le même nom que le paquet, suivi de `.asc`. Placez les deux fichiers dans un dossier dédié. Si le navigateur affiche la signature comme du texte, enregistrez le fichier du lien et vérifiez que ce n’est pas une page d’erreur et que l’extension est correcte. Gardez le paquet fermé jusqu’à la vérification. Pour Android, suivez la procédure dédiée.

Installez GnuPG en suivant la documentation du Tor Project. Sous Windows, celle-ci indique Gpg4win et utilise cmd.exe. Vérifiez que `gpg` et `gpgv` sont disponibles. Récupérez la clé des développeurs via le Web Key Directory et comparez son empreinte complète à la documentation officielle à jour. Le nom et l’adresse électronique seuls ne suffisent pas. Si la recherche échoue, suivez la méthode officielle d’importation de la clé publique. Arrêtez-vous si les empreintes diffèrent.

Comparez les noms complets, y compris la version, la plateforme et l’architecture. La signature d’une version précédente ne convient pas à un nouveau paquet. Sous Windows, affichez les extensions dans l’Explorateur de fichiers. Si une commande GnuPG reste introuvable après l’installation, rouvrez le terminal.

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org Empreinte complète: EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

gpg --fingerprint EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Exportez la clé vérifiée vers un fichier `tor.keyring` dédié. Vérifiez que ce fichier existe, qu’il n’est pas vide et qu’il contient uniquement la clé vérifiée. Si un fichier du même nom existe déjà et que son contenu est incertain, utilisez un nouveau dossier. `gpgv` fait confiance aux clés du trousseau indiqué.

gpg --output tor.keyring --export EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Ouvrez un terminal dans le dossier qui contient le paquet, la signature et le trousseau. Remplacez les noms d’exemple par les noms réels. Indiquez la signature en premier et le paquet en second. Conservez les guillemets si un chemin contient des espaces. Vérifiez que la signature des développeurs est validée. Dans un script, vérifiez aussi le code de retour.

macOS / Linux

gpgv --keyring ./tor.keyring "signature.asc" "downloaded-package"

Windows (cmd.exe)

gpgv --keyring .\tor.keyring "signature.asc" "downloaded-package"

Pour un paquet fictif `tor-browser-example.exe`, passez `tor-browser-example.exe.asc` en premier argument et `tor-browser-example.exe` en second. Relevez les noms réels sur la page de téléchargement. La date de signature peut différer de l’exemple de la documentation. Si la vérification échoue, gardez le paquet fermé.

Si un fichier ne s’ouvre pas, vérifiez le dossier courant, les chemins et l’ordre des arguments. Renommer un fichier ne modifie pas les octets signés. Si la clé publique manque, vérifiez l’export et le chemin du trousseau. Si la signature est invalide, téléchargez de nouveau les deux fichiers depuis la page officielle. Il peut s’agir de versions différentes, d’un téléchargement incomplet ou d’un paquet modifié. Si le problème persiste, gardez le paquet fermé et consultez l’aide du Tor Project.

Si vous remplacez l’un des fichiers, refaites la vérification. Assurez-vous d’ouvrir l’exemplaire vérifié, surtout si le navigateur a ajouté un numéro à son nom. La signature atteste la provenance et l’intégrité des octets vérifiés au regard de la clé. Les mises à jour, la configuration et les pratiques d’utilisation relèvent de vérifications distinctes. Si le terminal affiche plusieurs messages, lisez le résultat final avant de poursuivre. [1]