Verificare la firma di Tor Browser prima dell’installazione

Verificare la firma di Tor Browser prima dell’installazione

Scarica il pacchetto desktop dalla pagina ufficiale del Tor Project, scegliendo sistema operativo e architettura. Salva anche la firma accanto al download. Il suo nome corrisponde a quello del pacchetto con l’aggiunta di `.asc`. Metti i due file in una cartella dedicata. Se la firma viene visualizzata come testo, salva il file collegato e controlla che non sia una pagina di errore e che l’estensione sia corretta. Non aprire il pacchetto prima della verifica. Per Android segui le istruzioni dedicate.

Installa GnuPG secondo la documentazione del Tor Project. Per Windows la guida indica Gpg4win e usa cmd.exe. Verifica che `gpg` e `gpgv` siano disponibili. Recupera la chiave degli sviluppatori tramite la Web Key Directory e confronta l’impronta completa con quella della documentazione ufficiale aggiornata. Nome e indirizzo e-mail non bastano. Se la ricerca fallisce, segui la procedura ufficiale per importare la chiave pubblica. Se le impronte differiscono, fermati.

Confronta i nomi completi, compresi versione, piattaforma e architettura. La firma di una versione precedente non è adatta a un nuovo pacchetto. Su Windows mostra le estensioni dei nomi dei file in Esplora file. Se dopo l’installazione un comando GnuPG non viene trovato, riapri il terminale.

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org Impronta completa: EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

gpg --fingerprint EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Esporta la chiave verificata in un file dedicato `tor.keyring`. Verifica che esista, non sia vuoto e contenga solo la chiave verificata. Se esiste già un file con quel nome e non sai che cosa contenga, usa una cartella nuova. `gpgv` considera attendibili le chiavi nel portachiavi indicato.

gpg --output tor.keyring --export EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Apri un terminale nella cartella con il pacchetto, la firma e il portachiavi. Sostituisci i nomi di esempio con quelli effettivi. Indica prima la firma e poi il pacchetto. Mantieni le virgolette per i percorsi con spazi. Cerca il messaggio che conferma la validità della firma degli sviluppatori. In uno script controlla anche il codice di uscita.

macOS / Linux

gpgv --keyring ./tor.keyring "signature.asc" "downloaded-package"

Windows (cmd.exe)

gpgv --keyring .\tor.keyring "signature.asc" "downloaded-package"

Per il pacchetto di esempio `tor-browser-example.exe`, il primo argomento è `tor-browser-example.exe.asc` e il secondo è `tor-browser-example.exe`. Usa i nomi effettivi della pagina di download. La data della firma può essere diversa da quella riportata nell’esempio della documentazione. Se la verifica non riesce, non aprire il pacchetto.

Se un file non si apre, controlla la cartella corrente, i percorsi e l’ordine degli argomenti. Rinominare un file non modifica i byte firmati. Se manca la chiave pubblica, controlla l’esportazione e il percorso del portachiavi. In caso di firma non valida, scarica di nuovo entrambi i file dalla pagina ufficiale. Le cause possibili includono versioni diverse, download incompleto o modifica del pacchetto. Se anche il nuovo controllo fallisce, lascia chiuso il pacchetto e consulta la guida del Tor Project.

Ripeti la verifica quando sostituisci uno dei file. Prima di installare, assicurati di aprire proprio la copia verificata, soprattutto se il browser ha aggiunto un numero al nome. La firma attesta provenienza e integrità dei byte verificati rispetto alla chiave. Aggiornamenti, configurazione e modalità di utilizzo restano aspetti distinti. Se il terminale mostra più messaggi, leggi il risultato finale prima di installare. [1]