Ah, grand merci xavier, c’est le petit truc qui me manquait:
ssh-keyscan 212.85.158.7 > tuxfamily-ssh.pub
ssh-keygen -lf tuxfamily-ssh.pub
Concernant la façon de vérifier : par définition, il n'y a pas de moyen magique de vérifier le fingerprint lors de la première connexion, il faut aller chercher la valeur attendue par un moyen tiers auquel on fait confiance ; par exemple, il faudrait idéalement qu'on maintienne une page dédiée sur la FAQ pour exposer ce fingerprint (et les autres). Auquel cas, c'est à la FAQ que tu ferais confiance.
Oui, ça je comprends bien. C’est comme les clés publiques des gens, rien ne vaut une key-signing party.
Sur la FAQ, n’importe qui peut faire des modifications, j’aurais plus confiance dans une page de news que l’équipe de TF fait elle-même. On peut avoir davantage confiance dans le travail de TF pour la bonne marche et la sécurité des serveurs que dans Yahoo ou Orange ;-)
Passage de versions de Debian: ce n’était pas clair, je voulais parler de mon passage à moi. Sous ma Jessie, la page de 2008 fonctionnait encore pour moi, j’ai pu "vérifier" les clés. Donc, ce fut une page longue durée ;-)
Pour l’anglais du poisson, j’ai lu rapidement mais il y a quelques hics. Veux-tu que je propose une correction? C’est peut-être un peu tard?