Daniel Allaire
dea7769ff3
« J'ai besoin d'une confiance reelle. Keycloak est probablement l'element le plus dangereux de cet ecosysteme. » C'est exact : il signe les jetons de TOUT l'ecosysteme, une archive substituee la et l'identite entiere tombe. CORRECTION D'ABORD. J'avais ecrit que Keycloak ne publie aucune somme de controle. Faux, et l'exploitant l'a releve. Mesure : .sha1 et .md5 existaient jusqu'a 26.6.2 puis ont disparu a partir de 26.7.0 ; le .asc, lui, est present sur toutes les versions — et je l'avais rate, sans meme le chercher. Une somme prouve qu'un fichier n'est pas corrompu ; une signature prouve QUI l'a produit. ETABLI : la meme cle 861AB50E...6FD6EEBA a signe 26.0.7 (alors en production), 26.3.0, 26.6.2 et 26.7.1. NON ETABLI : aucune source independante ne publie cette empreinte — ni keycloak.org, ni SECURITY.md, ni un fichier KEYS ; absente de keys.openpgp.org, trouvee sur keyserver.ubuntu.com qui n'est pas une autorite. On prouve la continuite, pas l'origine. L'ancre reste une decision humaine — desormais ecrite, versionnee, et verifiee a chaque telechargement. scripts/verifier_signature.py impose trois choses, chacune contre un contournement precis : la cle publique vit DANS LE DEPOT (aucun serveur de cles au deploiement) ; l'empreinte est EPINGLEE, donc une rotation amont devient un echec bruyant ; trousseau JETABLE, donc le resultat ne depend pas du trousseau personnel. Il lit VALIDSIG et compare l'empreinte du signataire REEL — « bonne signature » seule laisserait passer une signature valide faite par une autre cle du trousseau. Eprouve sur cinq cas : nominal 0 ; artefact altere d'un octet 1 ; empreinte differente 1 ; cle du depot corrompue 1 ; signature absente 1. Ce que ca ne prouve PAS : que l'empreinte epinglee soit la bonne. Aucune machine ne peut l'etablir ; le script garantit qu'on ne s'en ecarte plus sans le voir. Verifie : role applique de bout en bout sur idm-01, ansible-lint production, prouver.py 35 OK. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
14 lines
669 B
Text
14 lines
669 B
Text
-----BEGIN PGP PUBLIC KEY BLOCK-----
|
|
|
|
mDMEZcsYGxYJKwYBBAHaRw8BAQdAA32swlQ3Z3tyI0iJAY0XMQEVwUXe7nHnjKWs
|
|
OCdIPNi0JUtleWNsb2FrIEJvdCA8a2V5Y2xvYWsuYm90QGdtYWlsLmNvbT6ImQQT
|
|
FgoAQRYhBIYatQ6MxmEftrwBprjxLqJv1u66BQJlyxgbAhsDBQkFo5qABQsJCAcC
|
|
AiICBhUKCQgLAgQWAgMBAh4HAheAAAoJELjxLqJv1u66mOwBANRuVTHzqTknxFKQ
|
|
pi5Mrb2oBbImTEgLkiUYzKidRMlxAP9C01g/l1/6EqGoW8EVwx5ZpjvoyPa9xGrH
|
|
oYk8lSh8Drg4BGXLGBsSCisGAQQBl1UBBQEBB0BP0g9y7SpLR8mx+JvOKLactT1O
|
|
ukxvjuc25/TqxVKDJQMBCAeIfgQYFgoAJhYhBIYatQ6MxmEftrwBprjxLqJv1u66
|
|
BQJlyxgbAhsMBQkFo5qAAAoJELjxLqJv1u66L0sBANSOIz9YtRp6lKeUf/MFp7aX
|
|
F3SbVD+A1zcxAkG7zb8UAP9wEZEe9LJRj+vvMA//B2dkldazB5XSd8kQMzbCZHwL
|
|
Cw==
|
|
=eS/r
|
|
-----END PGP PUBLIC KEY BLOCK-----
|