Sprawdzenie, czy pobrany plik naprawdę pochodzi od nas

Żeby sprawdzić, czy pobrany plik pochodzi od nas, oblicz jego odcisk SHA-256 w PowerShellu i porównaj go znak po znaku z tym na naszej stronie pobierania; to ten test rozstrzyga. Jeśli plik ma kartę Podpisy cyfrowe, nazwa na niej musi być nasza. Jeśli któryś test zawiedzie, usuń plik.

Po co się w to bawić

Bo oba sposoby, na jakie pobieranie może pójść źle, są niewidoczne: kopia hostowana gdzieś indziej, która wygląda identycznie, i prawdziwy plik zmieniony po drodze do ciebie. Żadne z tych dwóch nie wygląda inaczej w Eksploratorze. Obydwa nie przechodzą kontroli opisanych niżej.

Trzeci sposób jest mniej złowrogi i częstszy: pobieranie, które urwało się w połowie. Plik jest, ma właściwą nazwę i się nie uruchamia. Kontrola odcisku palca wyłapuje i to.

Kontrola 1 — podpis

Prawy przycisk na pliku → Właściwości.

• Jeśli jest tam karta Podpisy cyfrowe, nazwa w podpisie musi być nasza. Cudza nazwa oznacza: przerwij — ten plik nie jest tym, który opublikowaliśmy.
• Jeśli takiej karty nie ma, plik nie jest podpisany i ta kontrola nie mówi ci nic ani w jedną, ani w drugą stronę. Wtedy jedyną kontrolą jest kontrola 2 i sama w sobie wystarcza.

Ważny podpis mówi ci, kto podpisał plik i że od tamtej pory się nie zmienił. Nie mówi, którą wersję masz ani czy to ta, dla której ta strona publikuje odcisk palca. To robi odcisk palca opisany niżej i to ta kontrola rozstrzyga.

Kontrola 2 — odcisk palca

Odcisk palca SHA-256 to 64-znakowa wartość obliczana z każdego bajtu pliku. Zmień jeden bajt, a zmieni się cała wartość. Windows potrafi go obliczyć bez instalowania czegokolwiek.

Otwórz PowerShell w folderze, do którego pobrałeś plik (w Eksploratorze wpisz powershell w pasku adresu i naciśnij Enter):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Jeśli w folderze jest więcej niż jeden plik w0a, polecenie wypisze linię dla każdego z nich. Użyj tej, która dotyczy pliku, który zaraz uruchomisz.

To samo z wiersza polecenia:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Porównaj wynik z sumą SHA-256 wypisaną pod przyciskiem pobierania na naszej stronie pobierania. Musi się zgadzać znak po znaku. Wielkość liter nie ma znaczenia; każda inna różnica ma.

Jeśli któraś z kontroli wypadnie źle

Usuń plik. Nie uruchamiaj go „żeby zobaczyć”. Pobierz go ponownie z w0a.app, wpisując adres w pasek adresu, a nie z linku, który ktoś ci przysłał.

Jeśli odcisk palca znowu się nie zgadza, najpierw sprawdź, czy porównujesz właściwy plik. Przeglądarka mogła zapisać drugie pobranie z (1) na końcu nazwy i zostawić stary plik na miejscu.

Jeśli nadal się nie zgadza albo jeśli masz plik z miejsca, które nie jest naszą stroną, daj nam znać, skąd go masz. Kopia w0a na innej stronie to coś, o czym chcemy wiedzieć.

Co robimy po naszej stronie

Przycisk pobierania na naszej stronie jest wyłączony, dopóki nie są spełnione dwa warunki:

• adres prowadzi do naszej własnej domeny albo do strony wydań naszego własnego publicznego repozytorium na GitHubie, i do niczego innego;
• obok jest opublikowany poprawnie sformatowany odcisk palca SHA-256.

Strona nie może więc zaoferować pobierania z adresu obcej osoby ani zaoferować go bez odcisku palca, z którym da się go porównać.

Powiązane

• Mój antywirus usunął plik
• Co w0a o tobie zbiera