(Facultatif) Vérification de la signature de EC2Rescue pour Linux

La procédure suivante est celle recommandée pour vérifier la validité du package EC2Rescue pour Linux pour les systèmes d'exploitation Linux.

Lorsque vous téléchargez une application à partir d'Internet, nous vous recommandons d'authentifier l'identité de l'éditeur du logiciel et de vérifier que l'application n'a pas été modifiée ou corrompue depuis sa publication. Cela vous évitera d'installer une version de l'application contenant un virus ou tout autre code malveillant.

Si, après l'exécution de la procédure décrite dans cette rubrique, vous déterminez que le logiciel de EC2Rescue pour Linux a été modifié ou corrompu, n'exécutez pas le fichier d'installation. Contactez plutôt Amazon Web Services.

Les fichiers EC2Rescue pour Linux pour les systèmes d'exploitation Linux sont signés à l'aide de GnuPG, une mise en œuvre Open Source de la norme Pretty Good Privacy (OpenPGP) pour les signatures numériques sécurisées. GnuPG (également appelée GPG) assure l'authentification et le contrôle d'intégrité par le biais d'une signature numérique. AWS publie une clé publique et des signatures que vous pouvez utiliser pour vérifier le package EC2Rescue pour Linux téléchargé. Pour plus d'informations sur PGP et GnuPG (GPG), consultez http://www.gnupg.org.

La première étape consiste à établir une approbation avec l'éditeur du logiciel. Téléchargez la clé publique de l'éditeur du logiciel, vérifiez que le propriétaire de cette clé publique est bien celui qu'il prétend être, puis ajoutez la clé publique à votre porte-clés. Votre porte-clés est un ensemble de clés publiques connues. Après avoir établi l'authenticité de la clé publique, vous pouvez l'utiliser pour vérifier la signature de l'application.

Installation des outils GPG

Si votre système d'exploitation est Linux ou Unix, les outils GPG peuvent déjà être installés. Pour tester si les outils sont installés sur votre système, entrez gpg2 à partir d'une invite de commande. Si les outils GPG sont installés, une invite de commande GPG s'affiche. Si les outils GPG ne sont pas installés, vous voyez une erreur indiquant que la commande est introuvable. Vous pouvez installer le package GnuPG à partir d'un référentiel.

Pour installer les outils GPG sur un système Linux basé sur Debian

• Depuis un terminal, exécutez la commande suivante :

  apt-get install gnupg2

Pour installer les outils GPG sur un système Linux basé sur Red Hat

• Depuis un terminal, exécutez la commande suivante :

  yum install gnupg2

Authentification et importation de la clé publique

L'étape suivante consiste à authentifier la clé publique EC2Rescue pour Linux et à l'ajouter en tant que clé de confiance à votre porte-clés GPG.

Pour authentifier et importer la clé publique EC2Rescue pour Linux

1. À l'invite de commande, utilisez la commande suivante pour obtenir une copie de votre clé publique GPG :

   curl -O https://s3.amazonaws.com/ec2rescuelinux/ec2rl.key

2. À l'invite de commande, dans le répertoire où vous avez enregistré ec2rl.key, exécutez la commande suivante pour importer la clé publique EC2Rescue pour Linux dans votre porte-clés :

   gpg2 --import ec2rl.key

   La commande renvoie un résultat semblable à ce qui suit :

   gpg: /home/ec2-user/.gnupg/trustdb.gpg: trustdb created
   gpg: key 2FAE2A1C: public key "[e-mail] <EC2 Rescue for Linux>" imported
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)

Vérification de la signature du package

Après avoir installé les outils GPG, authentifié et importé la clé publique d'EC2Rescue pour Linux et vérifié que la clé publique d'EC2Rescue pour Linux est approuvée, vous êtes prêt à vérifier la signature du script d'installation d'EC2Rescue pour Linux.

Pour vérifier la signature du script d'installation EC2Rescue pour Linux

1. À l'invite de commande, exécutez la commande suivante pour télécharger le fichier signature du script d'installation :

   curl -O https://s3.amazonaws.com/ec2rescuelinux/ec2rl.tgz.sig

2. Vérifiez la signature en exécutant la commande suivante à l'invite de commande dans le répertoire où vous avez enregistré ec2rl.tgz.sig et le fichier d'installation d'EC2Rescue pour Linux. Ces deux fichiers doivent être présents.

   gpg2 --verify ./ec2rl.tgz.sig

   Le résultat doit ressembler à ce qui suit :

   gpg: Signature made Thu 12 Jul 2018 01:57:51 AM UTC using RSA key ID 6991ED45
   gpg: Good signature from "[e-mail] <EC2 Rescue for Linux>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: E528 BCC9 0DBF 5AFA 0F6C  C36A F780 4843 2FAE 2A1C
        Subkey fingerprint: 966B 0D27 85E9 AEEC 1146  7A9D 8851 1153 6991 ED45

   Si le résultat contient l'expression Good signature from "[e-mail] <EC2 Rescue for Linux>", cela signifie que la signature a été vérifiée et vous pouvez continuer à exécuter le script d'installation d'EC2Rescue pour Linux.

   Si le résultat inclut l'expression BAD signature, vérifiez si vous avez effectué la procédure correctement. Si vous continuez à obtenir cette réponse, contactez Amazon Web Services et n'exécutez pas le fichier d'installation que vous avez précédemment téléchargé.

Voici les informations détaillées sur les avertissements qui peuvent s'afficher :

• WARNING: This key is not certified with a trusted signature! There is no indication that the signature belongs to the owner.Ce message fait référence à votre niveau de confiance personnel dans la conviction que vous possédez une clé publique authentique pour EC2Rescue pour Linux. Dans un monde idéal, vous visiteriez un bureau Amazon Web Services et recevriez la clé en personne. Cependant, vous la téléchargez le plus souvent à partir d'un site Web. Dans le cas présent, le site Web est un site Amazon Web Services.

• gpg2: no ultimately trusted keys found. Cela signifie que la clé spécifique n'est pas « approuvée en dernier lieu » par vous-même (ou par d'autres personnes de confiance).

Pour plus d'informations, consultez http://www.gnupg.org.