Atenție: Aceste instrucțiuni sunt pentru a verifica codul sursă al browserului Tor. Vă rugăm să urmați instrucțiunile corecte pentru a verifica semnătura Tor Browser.

Semnătura digitală este un proces care asigură faptul că un anumit pachet a fost generat de dezvoltatorii săi și nu a fost manipulat. Mai jos vă explicăm de ce este important și cum să verificați dacă codul sursă al Tor Browser pe care îl descărcați este cel pe care l-am creat și nu a fost modificat de un atacator.

Fiecare fișier de pe pagina noastră de descărcare este însoțit de două fișiere care sunt etichetate "checksum" și "sig" cu același nume ca pachetul și extensia ".sha256sum" și, respectiv, ".sha256sum.asc".

Fișierul .asc va verifica dacă fișierul .sha256sum (care conține suma de verificare a pachetului) nu a fost modificat. Odată ce semnătura a fost validată (vezi mai jos cum se face), integritatea pachetului poate fi validată cu:

$ sha256sum -c *.sha256sum

Aceste fișiere vă permit să verificați fișierul pe care l-ați descărcat este exact cel pe care am intenționat să îl obțineți. Acest lucru va varia în funcție de browser-ul web, dar, în general, puteți descărca acest fișier făcând clic dreapta pe link-ul "sig" și "checksum" și selectând opțiunea "salvați fișierul ca".

De exemplu, tor-0.4.6.7.tar.gz este însoțit de tor-0.4.6.7.tar.gz.sha256sum.asc. Acestea sunt nume de fișiere de exemplu și nu se vor potrivi exact cu numele fișierelor pe care le descărcați.

Acum vă arătăm cum puteți verifica semnătura digitală a fișierului descărcat pe diferite sisteme de operare. Rețineți că o semnătură este datată la momentul semnării pachetului. Prin urmare, de fiecare dată când este încărcat un nou fișier, este generată o nouă semnătură cu o altă dată. Atâta timp cât ați verificat semnătura, nu trebuie să vă faceți griji că data raportată poate să difere.

Instalarea GnuPG

Mai întâi trebuie să aveți instalat GnuPG pentru a putea verifica semnăturile.

Pentru utilizatorii Windows:

Dacă rulați Windows, descărcați Gpg4win și rulați programul de instalare.

Pentru a verifica semnătura, va trebui să tastați câteva comenzi în linia de comandă Windows, cmd.exe.

Pentru utilizatorii macOS:

Dacă utilizați macOS, puteți instala GPGTools.

Pentru a verifica semnătura, va trebui să tastați câteva comenzi în terminal (sub „Aplicații”).

Pentru utilizatorii GNU / Linux:

Dacă utilizați GNU / Linux, atunci probabil că aveți deja GnuPG în sistemul dvs., deoarece majoritatea distribuțiilor GNU / Linux vin cu acesta preinstalate.

Pentru a verifica semnătura, va trebui să tastați câteva comenzi într-o fereastră a terminalului. Modul de a face acest lucru va varia în funcție de distribuția dumneavoastră.

Obținerea cheii Tor Developers

Următoarele chei pot semna tarball. Nu te aștepta la toate, poate varia în funcție de cine este disponibil pentru a face eliberarea.

Puteți lua cheia cu link-urile furnizate mai sus sau cu:

$ gpg --auto-key-locate nodefault,wkd --locate-keys ahf@torproject.org
$ gpg --auto-key-locate nodefault,wkd --locate-keys dgoulet@torproject.org
$ gpg --auto-key-locate nodefault,wkd --locate-keys nickm@torproject.org

Acest lucru ar trebui să vă arate ceva de genul (pentru nickm):

gpg: key FE43009C4607B1FB: public key "Nick Mathewson <nickm@torproject.org>" imported
gpg: Total number processed: 1
gpg:               imported: 1
pub   rsa4096 2016-09-21 [C] [expires: 2025-10-04]
      2133BC600AB133E1D826D173FE43009C4607B1FB
uid           [ unknown] Nick Mathewson <nickm@torproject.org>
sub   rsa4096 2016-09-23 [S] [expires: 2025-10-04]
sub   rsa4096 2016-09-23 [E] [expires: 2025-10-04]

Dacă primiți un mesaj de eroare, ceva a mers prost și nu puteți continua până când nu ați dat seama de ce acest lucru nu a funcționat. Este posibil să puteți importa cheia utilizând secțiunea Soluții (utilizând o cheie publică).

După importarea cheii, o puteți salva într-un fișier (identificându-l prin amprenta sa aici):

$ gpg --output ./tor.keyring --export 0x2133BC600AB133E1D826D173FE43009C4607B1FB

Această comandă are ca rezultat salvarea cheii într-un fișier aflat pe calea ./tor.keyring, adică în directorul curent. Dacă ./tor.keyring nu există după executarea acestei comenzi, ceva a mers prost și nu puteți continua până când nu v-ați dat seama de ce acest lucru nu a funcționat.

Verificarea semnăturii

Pentru a verifica semnătura pachetului pe care l-ați descărcat, va trebui să descărcați fișierul de semnătură corespunzător .sha256sum.asc și fișierul .sha256sum în sine și să îl verificați cu o comandă care solicită GnuPG să verifice fișierul pe care l-ați descărcat.

Exemplele de mai jos presupun că ați descărcat aceste două fișiere în folderul „Descărcări” - Downloads. Rețineți că aceste comenzi utilizează nume de fișiere de exemplu, iar al dumneavoastră va fi diferit: Veți fi descărcat o versiune diferită de 9.0 și este posibil să nu fi ales versiunea în limba engleză (en-US).

Pentru utilizatorii Windows:

gpgv --keyring .\tor.keyring Downloads\tor-0.4.6.10.tar.gz.sha256sum.asc Downloads\tor-0.4.6.10.tar.gz.sha256sum

Pentru utilizatorii macOS:

gpgv --keyring ./tor.keyring ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum.asc ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum

Pentru utilizatorii BSD/Linux:

gpgv --keyring ./tor.keyring ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum.asc ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum

Rezultatul comenzii trebuie să producă ceva de genul acesta (în funcție de cheia care ați semnat-o):

gpgv: Signature made Mon 16 Aug 2021 04:44:27 PM -03
gpgv:                using RSA key 7A02B3521DC75C542BA015456AFEE6D49E92B601
gpgv: Good signature from "Nick Mathewson <nickm@torproject.org>"

Dacă primiți mesaje de eroare care conțin „niciun astfel de fișier sau director”, fie ceva nu a mers bine cu unul dintre pașii anteriori, fie ați uitat că aceste comenzi utilizează nume de fișiere de exemplu, iar al dumneavoastră va fi puțin diferit.

De asemenea, poate doriți să aflați mai multe despre GnuPG.

Verificarea checksum-ului

Acum că am validat semnăturile sumei de control, trebuie să verificăm integritatea pachetului.

Pentru utilizatorii Windows:

certUtil -hashfile tor-0.4.6.10.tar.gz.sha256sum SHA256

Pentru utilizatorii macOS:

shasum -a 256 tor-0.4.6.10.tar.gz.sha256sum

Pentru utilizatorii BSD/Linux:

sha256sum -c tor-0.4.6.10.tar.gz.sha256sum