Die Signatur von Tor Browser vor der Installation prüfen

Die Signatur von Tor Browser vor der Installation prüfen

Laden Sie das Desktop-Paket für Ihr Betriebssystem und Ihre Rechnerarchitektur von der offiziellen Seite des Tor Project herunter. Speichern Sie auch die zugehörige Signatur. Ihr Dateiname entspricht dem Paketnamen mit dem Zusatz `.asc`. Legen Sie beide Dateien in einen eigenen Ordner. Wenn der Browser die Signatur als Text anzeigt, speichern Sie die verlinkte Datei und prüfen Sie, ob sie tatsächlich die Signatur enthält. Öffnen Sie das Paket erst nach der Prüfung. Für Android gelten eigene Anweisungen.

Installieren Sie GnuPG nach Anleitung des Tor Project. Unter Windows nennt die Anleitung Gpg4win und verwendet cmd.exe. Prüfen Sie, ob `gpg` und `gpgv` verfügbar sind. Rufen Sie den Entwicklerschlüssel über das Web Key Directory ab und gleichen Sie den vollständigen Fingerabdruck mit der aktuellen Dokumentation ab. Name und E-Mail-Adresse reichen dafür nicht. Schlägt der Abruf fehl, verwenden Sie die dokumentierte Importmethode. Brechen Sie bei abweichendem Fingerabdruck ab.

Vergleichen Sie die vollständigen Dateinamen einschließlich Version, Plattform und Architektur. Die Signatur eines älteren Releases passt nicht zu einem neuen Paket. Blenden Sie in Windows die Dateinamenerweiterungen im Explorer ein. Wird ein GnuPG-Befehl nach der Installation nicht gefunden, öffnen Sie das Terminal erneut.

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org Vollständiger Fingerabdruck: EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

gpg --fingerprint EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Exportieren Sie den geprüften Schlüssel in eine eigene Datei `tor.keyring`. Stellen Sie sicher, dass sie vorhanden und nicht leer ist und nur den geprüften Schlüssel enthält. Verwenden Sie einen neuen Ordner, wenn bereits eine gleichnamige Datei mit unbekanntem Inhalt existiert. `gpgv` vertraut den Schlüsseln im angegebenen Schlüsselbund.

gpg --output tor.keyring --export EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Öffnen Sie ein Terminal im Ordner mit Paket, Signatur und Schlüsselbund. Ersetzen Sie die Beispielnamen durch die tatsächlichen Dateinamen. Geben Sie zuerst die Signatur und dann das Paket an. Lassen Sie die Anführungszeichen bei Pfaden mit Leerzeichen stehen. Achten Sie auf die erfolgreiche Prüfung der Entwicklersignatur. Prüfen Sie in Skripten auch den Rückgabecode.

macOS / Linux

gpgv --keyring ./tor.keyring "signature.asc" "downloaded-package"

Windows (cmd.exe)

gpgv --keyring .\tor.keyring "signature.asc" "downloaded-package"

Beim Beispielpaket `tor-browser-example.exe` lautet das erste Argument `tor-browser-example.exe.asc`, das zweite `tor-browser-example.exe`. Die tatsächlichen Namen entnehmen Sie der Downloadseite. Der Zeitpunkt der Signatur kann vom Beispiel in der Dokumentation abweichen. Öffnen Sie das Paket bei fehlgeschlagener Prüfung nicht.

Kann `gpgv` eine Datei nicht öffnen, prüfen Sie den Ordner, die Pfade und die Reihenfolge der Argumente. Eine Umbenennung verändert die signierten Bytes nicht. Fehlt der öffentliche Schlüssel, prüfen Sie Export und Pfad zum Schlüsselbund. Bei ungültiger Signatur laden Sie beide Dateien erneut von der offiziellen Seite herunter. Mögliche Ursachen sind unterschiedliche Versionen, ein unvollständiger Download oder ein verändertes Paket. Wenn die Prüfung erneut scheitert, öffnen Sie das Paket nicht und konsultieren Sie die Hilfe des Tor Project.

Wiederholen Sie die Prüfung, sobald Sie eine der Dateien ersetzen. Achten Sie darauf, genau das geprüfte Exemplar zu öffnen, besonders wenn der Browser eine Nummer an den Dateinamen angehängt hat. Die Signatur belegt Herkunft und Integrität der geprüften Bytes in Bezug auf den Schlüssel. Updates, Konfiguration und Nutzung sind separate Sicherheitsfragen. Lesen Sie bei mehreren Meldungen im Terminal das abschließende Ergebnis vor der Installation. [1]