[wiki] Compilation kernel.

naguam · 14-11-2021 01:34:04

Je poste ce bout dans un post séparé à but d'information :
Je compte prendre le temps de modifier le wiki en profondeur pour enlever le blabla, le rendre plus concis, mettre des explications plus précise; sans pour autant perdre l'aspect rapide, simple et efficace pour les débutants.
Peut-être ajouter un tldr au début également.
Évidemment je suis ouvert à toute proposition, mais je ne garantis pas que ce soit rapidement dans le sens ou :
- Ce wiki semble très utilisé donc pas si mauvais. (fun fact j'ai déjà vu la page reprise ailleurs quasiment mot pour mot, mais faudrait que je retrouves pour vous sortir un lien)
- Je manque de temps

Dernière modification par naguam (14-11-2021 01:38:14)

anonyme · 14-11-2021 01:47:40

Bonjour
rapidement , Debian Alain confond ton wiki pour compiler un kernel , avec un wiki pour signer un noyau pour le sécure boot
sa demande a aucun sens dans le contexte et hors sujet , et en plus il n'est pas précis dans sa demande
hier j'ai compiler sans soucis aussi un 5.15.2.
donc rien a faire sur le wiki il est parfait , et oui il est beaucoup utilisé

Dernière modification par anonyme (14-11-2021 02:04:27)

naguam · 14-11-2021 01:58:33

Il n'a pas précisé si il parlait du secureboot ou non.

Mais bon si jamais pour l'information : Signer son noyau et le bootloader pour le secureboot, et signer les modules sont deux choses différentes (de ce que j'ai compris). On sait signer les modules du noyaux sans utiliser le secureboot, pour garantir que les modules chargés sont intègres et sans code malicieux (voir doc kernel.org).
Perso j'ai encore jamais self-signed un build custom de kernel pour du secureboot mais il existe pléthore de tutoriels pour ça et en effet c'est pas le sujet de ce wiki.

Par contre je soutiens qu'il y a du changement à faire sur des imprécisions, bref.... attendons la réponse

Dernière modification par naguam (14-11-2021 02:26:28)

Debian Alain · 14-11-2021 11:37:16

ben naguam , je suis obligé de te présenter mes excuses pour le dérangement .

j'ai eu du mal avec la gestion des clés du noyau 5.15.2 ,
mais curieusement , maintenant , tout semble rentré dans l'ordre .
j' ai un peu bidouillé . je ne sais pas ce que j'ai fait .
cette page m'a un peu aidé mais je la soupçonne de plus trop être à jour pour ajouter les clés .
la commande apt - key semble dépréciée .

ls

linux-5.15.2.tar.sign  linux-5.15.2.tar.xz

echo $kversion

5.15.2

xz -cd linux-$kversion.tar.xz | gpg --verify linux-$kversion.tar.sign -

gpg: Signature faite le ven. 12 nov. 2021 15:06:48 CET

gpg:                avec la clef RSA 647F28654894E3BD457199BE38DBBDC86092693E

gpg: Bonne signature de « Greg Kroah-Hartman <gregkh@linuxfoundation.org> » [inconnu]

gpg:                 alias « Greg Kroah-Hartman <gregkh@kernel.org> » [inconnu]

gpg:                 alias « Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com> » [inconnu]

gpg: Attention : cette clef n'est pas certifiée avec une signature de confiance.

gpg:             Rien n'indique que la signature appartient à son propriétaire.

Empreinte de clef principale : 647F 2865 4894 E3BD 4571  99BE 38DB BDC8 6092 693E

bon , ne tiens pas compte de la précédente requète .
souci résolu .

merci .

alain.

naguam · 14-11-2021 11:58:41

Ah et donc tu parlais de la vérification de la signature de l'archive ce qui est encore autre chose.
Comme quoi la précision a son importance

À la bonne heure

Bonne journée.

Dernière modification par naguam (14-11-2021 11:59:04)

--gilles-- · 14-11-2021 14:23:32

Bonjour

Debian Alain a écrit :

cette page m'a un peu aidé mais je la soupçonne de plus trop être à jour pour ajouter les clés .
la commande apt - key semble dépréciée .

La commande apt-key est obsolète à partir de Debian 11 et supprimée à partir de Debian 12, voir :

man apt-key

J'ai mis des avertissements sur la page https://debian-facile.org/doc:systeme:apt:signatures, mais comme je ne sais pas utiliser gpg, je n'ai pas actualisé ce tuto signatures.

Debian Alain · 14-11-2021 21:27:54

moi non plus --gilles-- , je ne sais pas me servir de gpg .

j'ai fait des recherches .

https://www.it-connect.fr/gestion-dempr … _darchives
https://www.kernel.org/signature.html
https://howtoinstall.co/en/gnupg2

si j'ai bien compris , dans le cas présent , la commande :

gpg --keyserver pgpkeys.mit.edu --recv-keys 647F28654894E3BD457199BE38DBBDC86092693E

gpg: clef 38DBBDC86092693E : « Greg Kroah-Hartman <gregkh@linuxfoundation.org> » n'est pas modifiée

gpg:       Quantité totale traitée : 1

gpg:                 non modifiées : 1

sert à récupérer la clé .

la commande :

xz -cd linux-$kversion.tar.xz | gpg --verify linux-$kversion.tar.sign -

gpg: Signature faite le ven. 12 nov. 2021 15:06:48 CET

gpg:                avec la clef RSA 647F28654894E3BD457199BE38DBBDC86092693E

gpg: Bonne signature de « Greg Kroah-Hartman <gregkh@linuxfoundation.org> » [inconnu]

gpg:                 alias « Greg Kroah-Hartman <gregkh@kernel.org> » [inconnu]

gpg:                 alias « Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com> » [inconnu]

gpg: Attention : cette clef n'est pas certifiée avec une signature de confiance.

gpg:             Rien n'indique que la signature appartient à son propriétaire.

Empreinte de clef principale : 647F 2865 4894 E3BD 4571  99BE 38DB BDC8 6092 693E

sert à la vérifier .

on peut aussi télécharger les signatures des mainteneurs avec :

gpg --locate-keys torvalds@kernel.org gregkh@kernel.org

pub   rsa4096 2011-09-23 [SC]

      647F28654894E3BD457199BE38DBBDC86092693E

uid          [ inconnue] Greg Kroah-Hartman <gregkh@linuxfoundation.org>

uid          [ inconnue] Greg Kroah-Hartman <gregkh@kernel.org>

uid          [ inconnue] Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com>

sub   rsa4096 2011-09-23 [E]

pub   rsa2048 2011-09-20 [SC]

      ABAF11C65A2970B130ABE3C479BE3E4300411886

uid          [ inconnue] Linus Torvalds <torvalds@kernel.org>

sub   rsa2048 2011-09-20 [E]

pour lister les clé installées :

gpg --list-keys

/home/alain/.gnupg/pubring.kbx

------------------------------

pub   rsa4096 2011-09-23 [SC]

      647F28654894E3BD457199BE38DBBDC86092693E

uid          [ inconnue] Greg Kroah-Hartman <gregkh@linuxfoundation.org>

uid          [ inconnue] Greg Kroah-Hartman <gregkh@kernel.org>

uid          [ inconnue] Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com>

sub   rsa4096 2011-09-23 [E]

pub   rsa2048 2011-09-20 [SC]

      ABAF11C65A2970B130ABE3C479BE3E4300411886

uid          [ inconnue] Linus Torvalds <torvalds@kernel.org>

sub   rsa2048 2011-09-20 [E]

tout ceci peut être fait indifférement avec gnupg ou gnupg2 (à installer)

apt policy gnupg gnupg2

gnupg:

  Installé : 2.2.27-2

  Candidat : 2.2.27-2

 Table de version :

     2.3.1-1 1

          1 http://deb.debian.org/debian experimental/main amd64 Packages

          1 http://deb.debian.org/debian experimental/main i386 Packages

 *** 2.2.27-2 500

        100 http://deb.debian.org/debian testing/main amd64 Packages

        100 http://deb.debian.org/debian testing/main i386 Packages

        500 http://deb.debian.org/debian unstable/main amd64 Packages

        500 http://deb.debian.org/debian unstable/main i386 Packages

        100 /var/lib/dpkg/status

gnupg2:

  Installé : 2.2.27-2

  Candidat : 2.2.27-2

 Table de version :

     2.3.1-1 1

          1 http://deb.debian.org/debian experimental/main amd64 Packages

          1 http://deb.debian.org/debian experimental/main i386 Packages

 *** 2.2.27-2 500

        100 http://deb.debian.org/debian testing/main amd64 Packages

        100 http://deb.debian.org/debian testing/main i386 Packages

        500 http://deb.debian.org/debian unstable/main amd64 Packages

        500 http://deb.debian.org/debian unstable/main i386 Packages

        100 /var/lib/dpkg/status

note :

--gilles-- , que j'ai longtemps cherché une commande du type

gpg --import 

le man de gpg est très prolixe au sujet des commandes , mais , finalement , je n'y suis pas arrivé .

gpg --keyserver hkp://keys.gnupg.net --recv-keys 647F28654894E3BD457199BE38DBBDC86092693E

gpg: échec de réception depuis le serveur de clefs : No name

Dernière modification par Debian Alain (14-11-2021 22:07:16)

naguam · 15-11-2021 07:19:15

Pour information sous debian gpupg2 est un 'dummy' package pour faire des symlinks gpg2 vers gpg pour avoir une compatibilité pour les scripts et personnes qui utilisent gpg2 et pas juste gpg (qui dans tout les cas est en version 2 dans les dépôts)

Voir description du package.

Dernière modification par naguam (15-11-2021 07:19:41)

Debian Alain · 15-11-2021 21:36:59

rebonjour naguam

je suis allé faire le curieux sur cette page :
https://debian-facile.org/doc:systeme:apt:signatures?s

en conséquence , j'ai regardé son thread associé :
plus particulièrement là (post de cémoi) :
https://debian-facile.org/viewtopic.php … 46#p195346

où il est précisé que l'url

hkp://wwwkeys.eu.pgp.net

peut être remplacée par l'url suivante :

hkp://wwwkeys.pgp.net

ce qui semble s'appliquer à ta commande et
permet d'éviter l'url :

pgpkeys.mit.edu

nous donnant donc la commande :

gpg --keyserver hkp://wwwkeys.pgp.net --recv-keys 647F28654894E3BD457199BE38DBBDC86092693E

fonctionnelle  aussi 

maintenant , pourquoi cette url ? je ne sais pas .
comment fonctionne t elle ? je ne sais pas non plus .

amicalement ,

alain .

p.s.: pour comprendre pour partie le fonctionnement de gpg , cette page m'a bien aidé :
https://doc.ubuntu-fr.org/gnupg#gerer_s … u_de_clefs

après recherches , il semble que le serveur de cémoi soit down déjà en 2011 :
https://lists.gnupg.org/pipermail/gnupg … 42183.html

en est il de même pour toi ? est ce sur le long terme ? définitif ?

Dernière modification par Debian Alain (15-11-2021 22:22:18)

anonyme · 16-11-2021 04:49:21

Bonjour
pour moi le souci est simple le serveur de clé n'existe pas
donc je pense a un souci chez moi au niveau de la résolution DNS => hkp://keys.gnupg.net ou http://keys.gnupg.net ou keys.gnupg.net
un ping donne "Aucune adresse associée avec le nom de l'hôte"
ça peu provenir de ma box ou du dns orange ou du nom qui n'est plus actif ou bloqué keys.gnupg.net ou hkp://keys.gnupg.net
le domaine gnupg.net répond en ipv6 et ipv4

host gnupg.net

gnupg.net has address 217.69.77.222

gnupg.net has IPv6 address 2001:aa8:fff1:100::22

gnupg.net mail is handled by 5 ns1.u64.de.

donc impossible de vérifier l'intégrité de l'archive téléchargé

remarque:
j'ai testé deux noyau sur sid , le 5.16-rc1 et le 5.15.2 de kernel.org
j'ai supprimer le 5.16-rc1 (rien de spécial a dire) et démarrer sur le 5.15.2
je me suis placé dans le dossier du kernel 5.15.2 avec le ".xz" et le ".sign"
lancer la commande en user

xz -cd linux-5.15.2.tar.xz | gpg --verify linux-5.15.2.tar.sign -

 

et en retour

gpg: Bonne signature de « Greg Kroah-Hartman <gregkh@linuxfoundation.org> » [inconnu]

gpg:                 alias « Greg Kroah-Hartman <gregkh@kernel.org> » [inconnu]

gpg:                 alias « Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com> » [inconnu]

gpg: Attention : cette clef n'est pas certifiée avec une signature de confiance.

gpg:             Rien n'indique que la signature appartient à son propriétaire.

et maintenant j'ai

gpg --list-keys

 

/home/robert/.gnupg/pubring.kbx

la clé du mainteneur enregistré dans mon trousseau de clé

sérieux je comprend rien

uname -a

Linux debian2 5.15.2-amd64 #1 SMP Sat Nov 13 04:20:00 CET 2021 x86_64 GNU/Linux

contenu du dossier /home/robert/compilation/Archives/kernel-5.15.2/

ls -l

total 181720

-rw-r--r-- 1 robert robert       989 15 nov.  03:45 linux-5.15.2.tar.sign

-rw-r--r-- 1 robert robert 121899896 13 nov.  00:38 linux-5.15.2.tar.xz

-rw-r--r-- 1 robert robert   8286352 13 nov.  04:55 linux-headers-5.15.2-amd64_5.15.2-1_amd64.deb

-rw-r--r-- 1 robert robert  54680208 13 nov.  04:56 linux-image-5.15.2-amd64_5.15.2-1_amd64.deb

-rw-r--r-- 1 robert robert   1199384 13 nov.  04:55 linux-libc-dev_5.15.2-1_amd64.deb

Dernière modification par anonyme (16-11-2021 07:02:59)

Debian Alain · 16-11-2021 10:31:59

suite à ton post , anonyme , voilà mes essais :

host wwwkeys.eu.pgp.net

host pgpkeys.mit.edu

pgpkeys.mit.edu is an alias for cryptonomicon.mit.edu.

cryptonomicon.mit.edu has address 18.9.60.141

host wwwkeys.pgp.net

wwwkeys.pgp.net has address 129.128.11.77

wwwkeys.pgp.net has address 195.113.19.82

wwwkeys.pgp.net has address 209.62.30.226

wwwkeys.pgp.net has address 18.9.60.141

wwwkeys.pgp.net has address 128.197.128.140

gpg --list-keys

/home/alain/.gnupg/pubring.kbx

------------------------------

pub   rsa2048 2011-09-20 [SC]

      ABAF11C65A2970B130ABE3C479BE3E4300411886

uid          [ inconnue] Linus Torvalds <torvalds@kernel.org>

sub   rsa2048 2011-09-20 [E]

pub   rsa4096 2011-09-23 [SC]

      647F28654894E3BD457199BE38DBBDC86092693E

uid          [ inconnue] Greg Kroah-Hartman <gregkh@linuxfoundation.org>

uid          [ inconnue] Greg Kroah-Hartman <gregkh@kernel.org>

uid          [ inconnue] Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com>

sub   rsa4096 2011-09-23 [E]

note :

gpg --keyserver wwwkeys.pgp.net --recv-keys 647F28654894E3BD457199BE38DBBDC86092693E

gpg: clef 38DBBDC86092693E : clef publique « Greg Kroah-Hartman <gregkh@linuxfoundation.org> » importée

gpg:       Quantité totale traitée : 1

gpg:                     importées : 1

amicalement ,

alain.

Dernière modification par Debian Alain (17-11-2021 09:42:52)

anonyme · 17-11-2021 21:05:03

Bonjour

un lien => https://www.kernel.org/signature.html
j'ai tout résolu a partir de ce lien et installé le paquet "gpg2" pour avoir les commandes

il est possible aussi de supprimer l' avertissement (lire le lien => TOFU)
pour récupérer les clés publiques par exemple

gpg2 --locate-keys torvalds@kernel.org gregkh@kernel.org

 

remarque: j'en ai profité pour faire la même chose pour les iso debian , avec le paquet "debian-keyring"
une commande du genre

gpgv --keyring /usr/share/keyrings/debian-role-keys.gpg -- SHA512SUMS.sign SHA512SUMS

 

la partie vérification de l'archive sur le wiki "compilation" demande a être reprise
ps: j'ai tout noter ..........

naguam · 17-11-2021 22:04:24

Je vais regarder, mais j'ai testé encore hier et ce que j'ai mis sur le wiki fonctionne pour moi.

Et la nouvelle méthode n'existait pas je penses au moment ou j'ai fait le wiki x) car le recv-key était pris sur le site officiel x)
Par contre ils expliquent deux méthodes, Using the Web Key Directory et Using GnuPG to verify kernel signatures, donc laquelle préférer.
Mais quoi qu'il arrive je penses qu'il faut reformuler.

A moins que je mette juste le lien vers la page kernel.org.

Dernière modification par naguam (17-11-2021 22:12:10)

anonyme · 18-11-2021 11:34:26

Bonjour
dans le lien que j'ai donné , tu a un script fournit par kernel.org qui automatise la vérification pour le dernier noyau stable.
voila ce que ça donne

./get-verified-tarball-kernel

 

Using TMPDIR=/home/robert/compilation/linux-tarball-verify.LL3OEnYZ4.untrusted

Making sure we have all the necessary keys

gpg: WARNING: unacceptable HTTP redirect from server was cleaned up

pub   rsa4096 2013-01-24 [SC]

      B8868C80BA62A1FFFAF5FDA9632D3A06589DA6B1

uid          [ inconnue] Kernel.org checksum autosigner <autosigner@kernel.org>

pub   rsa4096 2011-09-23 [SC]

      647F28654894E3BD457199BE38DBBDC86092693E

uid          [ inconnue] Greg Kroah-Hartman <gregkh@linuxfoundation.org>

uid          [ inconnue] Greg Kroah-Hartman <gregkh@kernel.org>

uid          [ inconnue] Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com>

sub   rsa4096 2011-09-23 [E]

pub   rsa2048 2011-09-20 [SC]

      ABAF11C65A2970B130ABE3C479BE3E4300411886

uid          [ inconnue] Linus Torvalds <torvalds@kernel.org>

sub   rsa2048 2011-09-20 [E]

Downloading the checksums file for linux-5.15.2

Verifying the checksums file

gpgv: Signature faite le mer. 17 nov. 2021 11:19:44 CET

gpgv:                avec la clef RSA 632D3A06589DA6B1

gpgv: Bonne signature de « Kernel.org checksum autosigner <autosigner@kernel.org> »

Downloading the signature file for linux-5.15.2

Downloading the XZ tarball for linux-5.15.2

  % Total    % Received % Xferd  Average Speed   Time    Time     Time  Current

                                 Dload  Upload   Total   Spent    Left  Speed

100  116M  100  116M    0     0  2146k      0  0:00:55  0:00:55 --:--:-- 2155k

Verifying checksum on linux-5.15.2.tar.xz

linux-5.15.2.tar.xz: Réussi

Verifying developer signature on the tarball

gpgv: Signature faite le ven. 12 nov. 2021 15:06:48 CET

gpgv:                avec la clef RSA 647F28654894E3BD457199BE38DBBDC86092693E

gpgv: Bonne signature de « Greg Kroah-Hartman <gregkh@linuxfoundation.org> »

gpgv:                 alias « Greg Kroah-Hartman <gregkh@kernel.org> »

gpgv:                 alias « Greg Kroah-Hartman (Linux kernel stable release signing key) <greg@kroah.com> »

Successfully downloaded and verified /home/robert/compilation/linux-5.15.2.tar.xz

modifier et installer

installer paquets gnupg2 et gpgv2 et curl

modifier le répertoire "Downloads" => "compilation"

chmod 700 get-verified-tarball-kernel

lancer le script ./get-verified-tarball-kernel

la partie de la vérification de l'archive est faite , ainsi que le téléchargement de l'archive , vérification du .sign et la mise a jour des clés dans le /home/.gnupg/
ps: pour un autre noyau que le dernier stable pas regardé ce qu'il faut faire (on oubli les rc qui ne sont pas signé )
sympa le script
=> https://git.kernel.org/pub/scm/linux/ke … ed-tarball

sinon pour ta remarque ci dessous

Par contre  ils expliquent deux méthodes, Using the Web Key Directory et Using GnuPG to verify kernel signatures, donc laquelle préférer.

 

il n'y a qu'une méthode , le web key pour récupérer les clés (tu a un tableau sur le lien a la fin ) et ensuite gnupg pour la vérification de l'archive
ce que tu fais sur le wiki mais d'une autre manière

sinon oui tu peu juste mettre un lien vers kernel.org sur le wiki , mais pour moi ça ne fonctionne pas et a priori je suis pas le seul (problème de serveur de clé)
c'est toi qui voit

Dernière modification par anonyme (18-11-2021 11:57:53)

naguam · 21-11-2021 20:00:40

Je vais voir pour changer ça en conséquence dans la mesure de mon temps disponible.

Mais j'ai retrouvé un des endroits ou j'avais vu une retranscription (ancienne version et quelques modifs mineures) du tuto

http://papy-tux.legtux.org/doc1221/index.html

Dernière modification par naguam (21-11-2021 20:02:28)

naguam · 16-08-2022 09:22:38

Je n'ai pas eu trop le temps de corriger cette histoire de gestion des signatures, mais j'espère avoir à nouveau un peu le temps avant début septembre.

Finalement j'ai décidé de mettre en lien la doc officielle de vérif d'archive, elle est bien expliquée, fonctionne, et c'est la base dans le cas ou les sources viennent du même site.

Dernière modification par naguam (16-08-2022 16:00:11)

naguam · 20-02-2024 12:23:52

https://askubuntu.com/questions/1465295 … pile-error

TODO : update le wiki pour indiquer que make deb-pkg ne fonctionne que si les sources viennent de git et non d'un tarball

Dernière modification par naguam (20-02-2024 12:24:01)

Debian-facile

#126 14-11-2021 01:34:04

Re : [wiki] Compilation kernel.

#127 14-11-2021 01:47:40

Re : [wiki] Compilation kernel.

#128 14-11-2021 01:58:33

Re : [wiki] Compilation kernel.

#129 14-11-2021 11:37:16

Re : [wiki] Compilation kernel.

#130 14-11-2021 11:58:41

Re : [wiki] Compilation kernel.

#131 14-11-2021 14:23:32

Re : [wiki] Compilation kernel.

#132 14-11-2021 21:27:54

Re : [wiki] Compilation kernel.

#133 15-11-2021 07:19:15

Re : [wiki] Compilation kernel.

#134 15-11-2021 21:36:59

Re : [wiki] Compilation kernel.

#135 16-11-2021 04:49:21

Re : [wiki] Compilation kernel.

#136 16-11-2021 10:31:59

Re : [wiki] Compilation kernel.

#137 17-11-2021 21:05:03

Re : [wiki] Compilation kernel.

#138 17-11-2021 22:04:24

Re : [wiki] Compilation kernel.

#139 18-11-2021 11:34:26

Re : [wiki] Compilation kernel.

#140 21-11-2021 20:00:40

Re : [wiki] Compilation kernel.

#141 16-08-2022 09:22:38

Re : [wiki] Compilation kernel.

#142 20-02-2024 12:23:52

Re : [wiki] Compilation kernel.

Pied de page des forums