APT peut télécharger les paquets, mais la clé de signature n'arrive pas

Un réglage Acquire::http::Proxy qui fonctionne ne prouve guère, pour un téléchargement de clé de signature en échec, tant qu'on ne sait pas quel programme récupère la clé.

Les anciennes instructions avec apt-key adv passent par le chemin du serveur de clés de GnuPG. D'autres méthodes d'installation téléchargent une clé avec curl ou un navigateur. Ces programmes ne lisent pas tous la configuration de proxy propre à APT.

Pour une requête au serveur de clés GnuPG

GnuPG utilise dirmngr pour les opérations réseau concernées. Ses options documentées incluent honor-http-proxy et un réglage explicite http-proxy ; le réglage explicite l'emporte sur la variable d'environnement. Vérifiez le répertoire personnel et le compte GnuPG réellement utilisés, surtout pour une commande privilégiée.

Vérifiez aussi l'URL du serveur de clés. Une connexion native au serveur de clés n'est pas la même chose qu'une requête HTTPS pour la même clé. Un accès par navigateur via un proxy HTTP n'établit pas l'autorisation d'une connexion directe distincte vers un port de serveur de clés.

Suivez la méthode d'installation actuelle de l'éditeur

Ne ressuscitez pas une commande de confiance globale obsolète pour réparer l'accès réseau. Les instructions actuelles de l'éditeur devraient indiquer la source de la clé et le trousseau prévu. S'ils utilisent un téléchargement HTTPS, configurez le client HTTP qui émet cette requête. Là où l'éditeur est publiquement joignable et les intermédiaires publics autorisés, la liste de proxys HTTP propose des points de terminaison candidats ; la vérification de l'empreinte reste une exigence distincte.

Confirmez l'empreinte complète attendue de la clé via les informations de l'éditeur. Un fichier téléchargé, un nom affiché identique ou un résultat de recherche n'établissent pas l'identité. Pour une rotation de clé, utilisez le processus de remplacement documenté actuel.

L'option Signed-By d'APT peut associer ce dépôt à un trousseau précis au lieu d'accorder une confiance générale entre sources. Vérifiez le format et l'extension requis du trousseau, puis assurez-vous que le compte d'acquisition peut lire le fichier et traverser ses répertoires parents. Un accès administrateur seul n'établit pas cette autorisation.

Laissez l'erreur désigner la vérification suivante

• Un délai d'attente concerne la route du téléchargeur ou la joignabilité du point de terminaison.
• Un défi de proxy concerne son compte et la méthode prise en charge.
• Une empreinte qui ne correspond pas est un échec de confiance après livraison.
• Une erreur de signature APT ultérieure peut concerner le chemin du trousseau ou l'association au dépôt.

Résolvez cette étape en conservant la vérification de signature. La désactiver supprimerait le contrôle que l'installation de la clé de signature est censée fournir.