Verifique um download do Ginger Wallet

Nível de leitura: Guia avançado. Use o guia de instalação para identificar o download oficial e o pacote para seu computador.

Uma assinatura separada ajuda a estabelecer que o ficheiro descarregado foi assinado pelo detentor de uma determinada chave de assinatura e não foi alterado desde então. Ela não prova que o software está livre de falhas. Também deve estabelecer que a chave de assinatura é aquela em que pretendia confiar.

Reúna os ficheiros correspondentes

Na versão v2.0.27, descarregue seu instalador ou ficheiro compactado e o ficheiro com o mesmo nome seguido de .asc. Mantenha-os na mesma pasta. Por exemplo, o par do Windows é Ginger-2.0.27.msi e Ginger-2.0.27.msi.asc. Uma assinatura para DMG, ZIP ou outra versão não verifica esse MSI.

Obtenha a chave pública de assinatura pela ligação PGP no site oficial. Guarde a chave como PGP.txt. Use um programa OpenPGP de confiança, como o GnuPG, para inspecioná-la e importá-la. Se o GnuPG não estiver instalado, obtenha-o na página oficial de download do GnuPG.

Confira a impressão digital

A impressão digital publicada pelo Ginger para esta versão é:

FA0B 017A 3E75 CE65 CBF7 838F A8FF 3767 EDF5 DCE9

Num terminal aberto na pasta de download, inspecione a chave antes de importá-la:

gpg --show-keys --with-fingerprint PGP.txt
gpg --import PGP.txt

Compare a impressão digital completa, não apenas um identificador curto da chave ou o nome exibido. Quando possível, confirme-a através de uma cópia em que já confia ou de outro canal estabelecido do Ginger. Obter uma chave e uma assinatura da mesma fonte comprometida não estabeleceria, por si só, a autenticidade. Se o Ginger anunciar uma mudança de chave, verifique esse anúncio antes de confiar na nova impressão digital.

Verifique o download efetivo

Para o instalador do Windows, execute:

gpg --verify Ginger-2.0.27.msi.asc Ginger-2.0.27.msi

Para outra plataforma, substitua pelos dois nomes exatos dos ficheiros. Uma verificação bem-sucedida deve identificar uma assinatura válida da chave pretendida. O GnuPG também pode avisar que a chave não é certificada por uma assinatura de confiança: isso diz respeito à forma como autenticou a chave e não deve ser confundido com uma assinatura inválida do ficheiro.

Se o resultado indicar BAD signature, a chave estiver ausente, a impressão digital for diferente ou a verificação não conseguir terminar, não abra o download ainda. Confira o par de nomes de ficheiros, repita o download e procure ajuda pelas ligações oficiais do projeto se o problema persistir. Não marque uma chave desconhecida como de confiança apenas para eliminar um aviso.

Somas de verificação e assinaturas de plataforma

Uma comparação de somas de verificação pode detetar um erro de descarga. Uma soma de verificação obtida de uma página não de confiança não pode autenticar software, pois um atacante pode substituir tanto o ficheiro descarregado como a sua soma de verificação. A versão também fornece material de somas de verificação; o procedimento com assinatura separada correspondente descrito acima é suficiente para verificar um único pacote selecionado.

A assinatura de código do Windows e a assinatura ou notarização do macOS fornecem verificações adicionais da plataforma. Elas complementam a verificação da versão descarregada; não substituem a necessidade de proteger suas palavras de recuperação e conferir as transações.

Para verificar separadamente que o conteúdo da aplicação pode ser recompilado a partir do código-fonte, siga o guia de compilações reproduzíveis da versão publicada. Use a tag exata da versão e a cadeia de ferramentas registada no pacote. Compare os conteúdos portáteis extraídos como o guia descreve; os metadados do ficheiro compactado e a assinatura podem alterar os bytes do pacote. Não se espera que um MSI do Windows ou DMG do macOS assinado tenha o mesmo hash de ficheiro que uma compilação local não assinada.

Após uma verificação bem-sucedida, volte a Instale o programa.