Politique de signature

Code signing policy. Comment les fichiers de Cahutin sont construits et signés, et comment vérifier ceux que vous avez téléchargés. Retour à l'accueil.

Installeur Windows

La signature de l'installeur Windows par SignPath Foundation, gratuite pour les logiciels libres, est en préparation. Une fois en place, les installeurs Windows porteront la mention : Free code signing provided by SignPath.io, certificate by SignPath Foundation. L'éditeur affiché par Windows sera alors « SignPath Foundation ».

Seuls sont signés les fichiers construits automatiquement par GitHub Actions, à partir du code source public du dépôt e-ban/cahutin, pour une version étiquetée (tag vX.Y.Z). Chaque signature de version est approuvée à la main par un approbateur. Le workflow de construction fait partie du code source et se lit dans le dépôt.

Paquets Linux

Chaque version publie un fichier SHA256SUMS avec l'empreinte de chaque paquet, et sa signature SHA256SUMS.asc faite avec la clé GPG de l'auteur :

8FA0 F2E7 B84F 0A5A 7486 4BF5 F53D 74F1 7C0A 3001

Pour vérifier un téléchargement, dans le dossier qui contient les fichiers :

  1. Importer la clé publiée par GitHub : curl -s https://github.com/e-ban.gpg | gpg --import
  2. Vérifier la signature : gpg --verify SHA256SUMS.asc SHA256SUMS doit dire « Bonne signature » avec l'empreinte ci-dessus.
  3. Vérifier les fichiers : sha256sum --check --ignore-missing SHA256SUMS doit répondre « OK » pour chacun.

L'équipe

Cahutin est développé et maintenu par une seule personne, qui tient les trois rôles :

  • Auteurs (committers)

    Iban Guinebert : modifie le code source.

  • Relecteurs (reviewers)

    Iban Guinebert : relit chaque contribution extérieure (pull request) avant de l'intégrer.

  • Approbateurs (approvers)

    Iban Guinebert : approuve chaque demande de signature.

Les comptes utilisés pour le dépôt et pour la signature sont protégés par une authentification à deux facteurs.

Confidentialité

Cahutin ne transmet aucune information à un autre système en réseau, sauf si l'utilisateur le demande expressément.

La seule connexion possible est l'avis de nouvelle version. Elle est désactivée tant que l'utilisateur ne l'a pas acceptée, et se coupe à tout moment dans le menu Aide. Une fois par jour, Cahutin lit alors le numéro de la dernière version sur api.github.com, sans envoyer aucun document, identifiant ou information sur l'ordinateur ; GitHub voit l'adresse IP de la connexion.

In English

Windows installer. Free code signing by SignPath Foundation is in preparation. Once in place: free code signing provided by SignPath.io, certificate by SignPath Foundation. Only installers built by GitHub Actions from the public source of e-ban/cahutin for a tagged release are signed, and every signing request is approved manually.

Linux packages. Each release ships SHA256SUMS and SHA256SUMS.asc, signed with the GPG key above.

Team roles. Committers, reviewers and approvers: Iban Guinebert. Multi-factor authentication is enabled.

Privacy. This program will not transfer any information to other networked systems unless specifically requested by the user or the person installing or operating it. The only connection is the optional new-version notice: off until the user accepts it, it reads the latest version number from api.github.com once a day.