Verifica un download di Ginger Wallet

Livello della guida: Avanzato. Usa la guida all’installazione per identificare il download ufficiale e il pacchetto per il tuo computer.

Una firma separata aiuta a stabilire che il file scaricato sia stato firmato dal titolare di una determinata chiave di firma e non sia cambiato da allora. Non dimostra che il software sia privo di errori. Devi anche accertare che la chiave di firma sia quella di cui intendevi fidarti.

Raccogli i file corrispondenti

Dalla versione v2.0.27, scarica il programma di installazione o l’archivio e il file con lo stesso nome seguito da .asc. Conservali nella stessa cartella. Per esempio, la coppia Windows è Ginger-2.0.27.msi e Ginger-2.0.27.msi.asc. Una firma per un DMG, uno ZIP o un’altra versione non verifica quell’MSI.

Ottieni la chiave pubblica di firma dal collegamento PGP sul sito ufficiale. Salva la chiave come PGP.txt. Usa un’applicazione OpenPGP affidabile, come GnuPG, per esaminarla e importarla. Se GnuPG non è installato, ottienilo dalla pagina ufficiale di download di GnuPG.

Controlla l’impronta

L’impronta pubblicata da Ginger per questa versione è:

FA0B 017A 3E75 CE65 CBF7 838F A8FF 3767 EDF5 DCE9

In un terminale aperto nella cartella del download, esamina la chiave prima di importarla:

gpg --show-keys --with-fingerprint PGP.txt
gpg --import PGP.txt

Confronta l’intera impronta, non solo un ID breve della chiave o il nome visualizzato. Se possibile, confermala attraverso una copia già considerata affidabile o un altro canale consolidato di Ginger. Ottenere chiave e firma dalla stessa fonte compromessa non stabilirebbe, da solo, l’autenticità. Se Ginger annuncia un cambio di chiave, verifica quell’annuncio prima di fidarti della nuova impronta.

Verifica il download effettivo

Per il programma di installazione Windows, esegui:

gpg --verify Ginger-2.0.27.msi.asc Ginger-2.0.27.msi

Per un’altra piattaforma, sostituisci entrambi i nomi esatti dei file. Una verifica riuscita dovrebbe indicare una firma valida della chiave prevista. GnuPG può anche avvisare che la chiave non è certificata da una firma affidabile: riguarda il modo in cui hai autenticato la chiave e non va confuso con una firma del file non valida.

Se il risultato indica BAD signature, la chiave manca, l’impronta differisce o la verifica non può terminare, non aprire ancora il download. Controlla la coppia di nomi, ripeti il download e chiedi aiuto attraverso i collegamenti ufficiali del progetto se il problema persiste. Non contrassegnare una chiave sconosciuta come affidabile solo per eliminare un avviso.

Checksum e firme della piattaforma

Un confronto dei checksum può rilevare un errore di download. Un checksum preso da una pagina non affidabile non può autenticare il software, perché un aggressore può sostituire sia il download sia il suo checksum. La versione fornisce anche materiale relativo ai checksum; la procedura con firma separata descritta sopra è sufficiente per verificare un singolo pacchetto scelto.

La firma del codice su Windows e la firma o autenticazione notarile su macOS forniscono ulteriori controlli della piattaforma. Completano la verifica della versione scaricata; non sostituiscono la necessità di proteggere le parole di recupero e controllare le transazioni.

Per verificare separatamente che il contenuto dell’applicazione possa essere ricompilato dai sorgenti, segui la guida alle build riproducibili della versione. Usa il tag esatto della versione e la toolchain registrata nel pacchetto. Confronta i contenuti portabili estratti come descritto nella guida; i metadati degli archivi e la firma possono cambiare i byte dei pacchetti. Non ci si aspetta che un MSI Windows o un DMG macOS firmato abbia lo stesso hash di una build locale non firmata.

Dopo una verifica riuscita, torna a Installa l’applicazione.