Einen Ginger-Wallet-Download prüfen

Schwierigkeitsgrad: Fortgeschritten. Nutze die Installationsanleitung, um den offiziellen Download und das Paket für deinen Computer zu bestimmen.

Eine separate Signatur hilft festzustellen, dass deine heruntergeladene Datei vom Inhaber eines bestimmten Signierschlüssels signiert wurde und seither unverändert ist. Sie beweist nicht, dass die Software fehlerfrei ist. Du musst außerdem feststellen, ob du genau diesem Signierschlüssel vertrauen wolltest.

Die passenden Dateien beschaffen

Lade von der Veröffentlichung v2.0.27 deinen Installer oder dein Archiv sowie die gleichnamige Datei mit zusätzlichem .asc herunter. Bewahre beide in einem Ordner auf. Unter Windows sind das beispielsweise Ginger-2.0.27.msi und Ginger-2.0.27.msi.asc. Eine Signatur für ein DMG, ZIP oder eine andere Version prüft diese MSI nicht.

Beziehe den öffentlichen Signierschlüssel über den PGP-Link auf der offiziellen Website. Speichere ihn als PGP.txt. Verwende eine vertrauenswürdige OpenPGP-Anwendung wie GnuPG zum Prüfen und Importieren. Falls GnuPG fehlt, beziehe es von der offiziellen GnuPG-Downloadseite.

Den Fingerabdruck prüfen

Ginger veröffentlicht für diese Version folgenden Fingerabdruck:

FA0B 017A 3E75 CE65 CBF7 838F A8FF 3767 EDF5 DCE9

Prüfe den Schlüssel vor dem Import in einem Terminal im Downloadordner:

gpg --show-keys --with-fingerprint PGP.txt
gpg --import PGP.txt

Vergleiche den vollständigen Fingerabdruck, nicht nur eine kurze Schlüssel-ID oder den angezeigten Namen. Bestätige ihn nach Möglichkeit mit einer bereits vertrauenswürdigen Kopie oder einem anderen etablierten Ginger-Kanal. Schlüssel und Signatur aus derselben kompromittierten Quelle belegen allein keine Echtheit. Kündigt Ginger einen Schlüsselwechsel an, prüfe diese Mitteilung, bevor du dem neuen Fingerabdruck vertraust.

Den tatsächlichen Download prüfen

Führe für den Windows-Installer Folgendes aus:

gpg --verify Ginger-2.0.27.msi.asc Ginger-2.0.27.msi

Ersetze für andere Plattformen beide Dateinamen exakt. Eine erfolgreiche Prüfung sollte eine gültige Signatur des vorgesehenen Schlüssels melden. GnuPG kann zusätzlich warnen, dass der Schlüssel nicht durch eine vertrauenswürdige Signatur zertifiziert ist: Das betrifft deine Authentifizierung des Schlüssels und darf nicht mit einer ungültigen Dateisignatur verwechselt werden.

Wenn das Ergebnis BAD signature meldet, der Schlüssel fehlt, der Fingerabdruck abweicht oder die Prüfung nicht abgeschlossen werden kann, öffne den Download noch nicht. Prüfe das Dateinamenpaar, wiederhole den Download und suche bei anhaltenden Problemen über die offiziellen Projektlinks Hilfe. Markiere einen unbekannten Schlüssel nicht nur zum Entfernen einer Warnung als vertrauenswürdig.

Prüfsummen und Plattformsignaturen

Ein Prüfsummenvergleich kann Downloadfehler erkennen. Eine Prüfsumme von einer nicht vertrauenswürdigen Seite kann Software nicht authentifizieren, weil ein Angreifer Download und Prüfsumme ersetzen kann. Die Veröffentlichung liefert auch Prüfsummendaten; das obige Verfahren mit der passenden separaten Signatur genügt zur Prüfung eines ausgewählten Pakets.

Windows-Codesignierung sowie macOS-Signierung oder Notarisierung bieten zusätzliche Plattformprüfungen. Sie ergänzen die Prüfung der heruntergeladenen Veröffentlichung; sie ersetzen weder den Schutz deiner Wiederherstellungswörter noch die Transaktionsprüfung.

Um separat zu prüfen, ob sich die Anwendungsdateien aus dem Quellcode reproduzieren lassen, folge der Reproduzierbarkeitsanleitung dieser Veröffentlichung. Verwende exakt den Release-Tag und die im Paket angegebene Toolchain. Vergleiche die extrahierten portablen Anwendungsdateien wie dort beschrieben; Archivmetadaten und Signaturen können die Paketbytes verändern. Eine signierte Windows-MSI oder macOS-DMG hat daher erwartungsgemäß nicht denselben Dateihash wie ein unsignierter lokaler Build.

Kehre nach erfolgreicher Prüfung zu Die Anwendung installieren zurück.