La firma digital es un proceso que asegura que un paquete fue generado por sus desarrolladores y no ha sido alterado. Debajo explicamos por qué es importante y cómo verificar que el Navegador Tor que descargas es el que hemos creado y no ha sido modificado por algún atacante.

Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".

Por ejemplo, tor-browser-windows-x86_64-portable-13.0.1.exe va acompañado de tor-browser-windows-x86_64-portable-13.0.1.exe.asc. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.

Ahora mostramos cómo puedes verificar la firma digital de los archivos descargados en diferentes sistemas operativos. Por favor ten en cuenta que una firma es fechada en el momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. En la medida en que hayas verificado la firma, no deberías preocuparte si la fecha reportada varía con la del ejemplo.

Instalar GnuPG

En primer lugar, necesitas tener GnuPG instalado antes de verificar firmas.

Para usuarios de Windows:

Si usas Windows, descarga Gpg4win y ejecuta el instalador.

A fin de verificar la firma, necesitarás escribir unos pocos comandos en la utilidad de línea de comandos de Windows, cmd.exe.

Para usuarios macOS:

Si estás usando macOS, puedes instalar GPGTools.

Para comprobar la validez de la firma digital, debes escribir unos cuantos comandos en el Terminal (está en "Aplicaciones").

Para usuarios GNU/Linux:

Si usas GNU/Linux, probablemente ya tengas instalado GnuPG, la mayoría de distribuciones lo incluyen.

Para comprobar la validez de la firma digital, debes escribir unos cuantos comandos en una ventana de terminal. Cómo hacerlo exactamente, varía dependiendo de qué distribución uses.

Obteniendo la clave de los desarrolladores de Tor

El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org

Esto debería de mostrar algo parecido a:

gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
gpg: Total number processed: 1
gpg:               imported: 1
      EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
uid           [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>

NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.

Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).

Después de importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):

gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Este comando tiene como resultado que la clave sea guardada a un archivo que se encuentra en la ruta ./tor.keyring, por ejemplo, en la carpeta actual. Si ./tor.keyring no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.

Comprobar la firma

Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.

Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.

Para los usuarios de Windows (cambia x86_64 por i686 si tienes el paquete de 32 bits):

gpgv --keyring .\tor.keyring Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe.asc Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe

Para usuarios macOS:

gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-macos-13.0.1.dmg.asc ~/Downloads/tor-browser-macos-13.0.1.dmg

Para usuarios de GNU/Linux (cambia x86_64 por i686 si tienes el paquete de 32 bits):

gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz.asc ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz

El resultado del comando debe contener:

gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"

Si te aparecen mensajes de error conteniendo 'No existe el archivo o directorio', o bien aldo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.

Actualizar la clave PGP

Ejecuta este comando para actualizar la clave de inicio de sesión de desarrollador del Navegador Tor en tu juego de llaves desde el servidor de claves. Esto también buscará las nuevas subclaves.

gpg --refresh-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Método alternativo (usando una clave pública)

Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:

curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -

La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Si estás usando MacOS o GNU/Linux, la clave también puede ser obtenida ejecutando el siguiente comando:

gpg --keyserver keys.openpgp.org --search-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Es posible que quieras saber más sobre GnuPG.