Verificarea unei versiuni descărcate
Fiecare versiune publicată vine cu lista componentelor (SBOM), cu fișierul SHA256SUMS — amprenta criptografică (hash) a fiecărui instalator — și cu semnătura lui detașată, făcută cu cheia de publicare K1. Oricine poate verifica un instalator fără aplicație și fără Palomar: cu cheia publică de pe pagina de descărcări și cu OpenSSL 3.
Cheia de publicare
Pagina de descărcări publică, la „Chei”, cheia publică K1 cu amprenta ei și cheia de rezervă K1-backup, care semnează declarațiile despre chei. Salvați cheia publică K1 ca fișier și comparați-i amprenta cu cea afișată; o cheie revocată sau retrasă este listată acolo ca nemaifiind de încredere, iar aplicația refuză orice versiune semnată cu ea.
Pașii
Comenzile exacte sunt pe pagina de descărcări, la „Verificare”; pașii sunt aceștia.
- Verificați că openssl version afișează OpenSSL 3.
- Descărcați fișierele versiunii împreună cu SHA256SUMS și SHA256SUMS.sig în același director.
- Salvați cheia publică K1 de la „Chei” ca k1.pub.pem și comparați-i amprenta cu cea afișată acolo.
- Verificați semnătura fișierului SHA256SUMS cu cheia publică; OpenSSL afișează „Signature Verified Successfully”.
- Verificați fiecare fișier descărcat față de SHA256SUMS: shasum pe macOS, sha256sum pe Linux.
LibreSSL pe macOS
Pe macOS, programul openssl livrat cu sistemul este LibreSSL, care nu are comanda de verificare a semnăturilor folosită la pasul 4. Instalați OpenSSL 3 — de exemplu prin Homebrew — și folosiți-l pe el; primul pas, openssl version, vă spune care rulează.