Проверка загрузки Ginger Wallet

Уровень: углублённый. Используйте руководство установки для определения официальной загрузки и подходящего пакета.

Отсоединённая подпись помогает установить, что загруженный файл подписан владельцем определённого ключа и не изменён после подписи. Она не доказывает отсутствие ошибок в программе. Необходимо также установить, что это именно тот ключ, которому вы собирались доверять.

Получение соответствующих файлов

Из выпуска v2.0.27 загрузите установщик или архив и файл с тем же именем и суффиксом .asc. Держите их в одной папке. Например, Windows использует Ginger-2.0.27.msi и Ginger-2.0.27.msi.asc. Подпись DMG, ZIP или другой версии не проверяет этот MSI.

Получите открытый ключ через PGP-ссылку на официальном сайте. Сохраните его как PGP.txt. Используйте надёжное OpenPGP-приложение, например GnuPG, для просмотра и импорта. Если GnuPG не установлен, получите его с официальной страницы загрузки.

Проверка отпечатка

Ginger публикует для этого выпуска следующий отпечаток:

FA0B 017A 3E75 CE65 CBF7 838F A8FF 3767 EDF5 DCE9

В терминале, открытом в папке загрузки, просмотрите ключ перед импортом:

gpg --show-keys --with-fingerprint PGP.txt
gpg --import PGP.txt

Сравните полный отпечаток, а не только короткий идентификатор или показанное имя. По возможности подтвердите его ранее доверенной копией или другим установленным каналом Ginger. Ключ и подпись из одного скомпрометированного источника сами по себе не устанавливают подлинность. При объявлении смены ключа проверьте сообщение, прежде чем доверять новому отпечатку.

Проверка самой загрузки

Для установщика Windows выполните:

gpg --verify Ginger-2.0.27.msi.asc Ginger-2.0.27.msi

Для другой платформы подставьте оба точных имени. Успешная проверка должна сообщить о правильной подписи нужного ключа. GnuPG также может предупредить, что ключ не удостоверен доверенной подписью: это относится к аутентификации ключа и не равнозначно неправильной подписи файла.

Если результат содержит BAD signature, ключ отсутствует, отпечаток отличается или проверка не завершается, пока не открывайте загрузку. Проверьте пару имён, загрузите повторно и при сохранении проблемы ищите помощь через официальные ссылки проекта. Не помечайте незнакомый ключ доверенным только ради устранения предупреждения.

Контрольные суммы и подписи платформ

Сравнение контрольных сумм может выявить ошибку загрузки. Сумма с ненадёжной страницы не аутентифицирует программу: злоумышленник может заменить файл и сумму. Выпуск также предоставляет данные сумм; описанной проверки соответствующей отсоединённой подписи достаточно для выбранного пакета.

Подпись кода Windows и подпись или нотаризация macOS дают дополнительные проверки платформы. Они дополняют проверку выпуска, но не заменяют защиту слов восстановления и проверку транзакций.

Чтобы отдельно проверить возможность воспроизвести содержимое приложения из исходного кода, следуйте руководству по воспроизводимой сборке для этого выпуска. Используйте точный тег выпуска и набор инструментов, указанный в пакете. Сравнивайте извлечённое содержимое переносимых пакетов, как описано в руководстве: метаданные архива и подписи могут менять байты пакета. Хеш подписанного Windows MSI или macOS DMG не должен обязательно совпадать с хешем неподписанной локальной сборки.

После успешной проверки вернитесь к Установке приложения.