TROUSSEAU PUBLIC DEBIAN POUR LES ARCHIVES PALI

Origine locale : paquet Debian debian-archive-keyring, version 2025.1,
état « install ok installed ». Vérification dpkg --verify : code 0,
aucune différence signalée. Il s’agit d’une provenance du paquet installé ;
ce contrôle ne constitue pas une attestation indépendante de l’intégrité de l’hôte.

Le fichier debian-archive-keyring.gpg est la concaténation binaire exacte,
dans cet ordre, des deux fichiers officiels installés :
1. /usr/share/keyrings/debian-archive-keyring.gpg
   lien vers debian-archive-keyring.pgp, 55 918 octets.
   SHA256 506b815cbb32d9b6066b4a2aa524071e071761e7e7f68c3ac74f3061ba852017
2. /usr/share/keyrings/debian-archive-removed-keys.gpg
   lien vers debian-archive-removed-keys.pgp, 72 636 octets.
   SHA256 0ff45da93c7fd62cc3f10b4c5019985caf49e5959bb3bf992f558d11963870fa

Résultat : 128 554 octets.
SHA256 ca5ed6d2894a2197eac792c2ce5ad4224402481b8764fc4a56e42f504a1284a9

Aucune clé privée. Aucun import dans le trousseau système, aucun changement de
confiance, de signature ou de date d’expiration. Les paquets OpenPGP officiels
sont conservés tels quels ; aucune réexportation ni nouvelle signature.
Les clés retirées sont nécessaires pour lire certaines archives anciennes :
ne pas installer ce trousseau en confiance globale sur un système courant.
L’utiliser exclusivement dans les commandes APT dédiées aux archives de la
restauration PALI. Les empreintes complètes figurent dans empreintes-lisibles.txt
et les détails machine dans provenance.json / empreintes-clefs-publiques.txt.

Format : séquence binaire de paquets OpenPGP version 4, pas un magasin KBX.
Les signatures Release pertinentes contrôlées sont RSA, que GnuPG historique
sait lire. Le trousseau contient aussi des clés plus récentes en EdDSA : leur
présence ne garantit pas leur prise en charge par GnuPG 1.4. La lisibilité du
format est raisonnable, mais APT 1.0/1.4 et leurs gpgv n’ont pas été exécutés.
En particulier, fournir les clés ne supprime pas leur expiration et ne garantit
pas qu’un APT ancien accepte les signatures historiques à la date actuelle.
Sur refus APT, arrêter ; ne pas désactiver la validation cryptographique.

Ce même fichier a servi aux essais isolés APT 3.0.3/sqv : dépôts Jessie et
Stretch acceptés ; copie de Release Jessie falsifiée refusée (code 100).
Ces essais ne remplacent pas un essai complet dans chaque ancien système.

Références officielles :
https://ftp-master.debian.org/keys.html
https://packages.debian.org/trixie/debian-archive-keyring
https://www.debian.org/distrib/archive
