Как проверить подпись Tor Browser перед установкой

Как проверить подпись Tor Browser перед установкой

Скачайте настольный пакет с официальной страницы Tor Project. Выберите свою ОС и архитектуру, затем сохраните подпись по ссылке рядом с выбранным пакетом. У неё должно быть то же имя с добавлением `.asc`. Держите оба файла в отдельной папке. Если браузер показывает подпись как текст, сохраните файл по ссылке и проверьте, что это не страница ошибки и расширение не изменилось. До проверки пакет не открывайте. Для Android используйте отдельную инструкцию Tor Project.

Установите GnuPG по инструкции Tor Project. Для Windows в ней указан Gpg4win, а команды выполняются в cmd.exe. Убедитесь, что доступны `gpg` и `gpgv`. Получите ключ разработчиков через Web Key Directory. Сверьте весь отпечаток с текущей документацией. Имени и адреса электронной почты недостаточно. Если поиск не удался, воспользуйтесь официальным способом импорта открытого ключа и повторите сверку. При несовпадении остановитесь.

Сверьте имена файлов целиком, включая версию, платформу и архитектуру. Подпись старого выпуска не подойдёт к новому пакету. В Windows включите показ расширений в Проводнике, чтобы увидеть лишнее расширение. Если после установки GnuPG команда не найдена, откройте терминал заново.

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org Полный отпечаток: EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

gpg --fingerprint EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Экспортируйте проверенный ключ в отдельный `tor.keyring`. Убедитесь, что файл создан, не пуст и содержит только проверенный ключ. Если старый файл с таким именем уже существует и его содержимое неизвестно, используйте новую папку. `gpgv` доверяет ключам из указанного набора.

gpg --output tor.keyring --export EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Перейдите в папку с пакетом, подписью и набором ключей. Замените примеры имён на реальные. Первым аргументом передайте подпись, вторым пакет. Для путей с пробелами сохраняйте кавычки. Ищите сообщение об успешной подписи разработчиков. В сценарии проверяйте также код возврата.

macOS / Linux

gpgv --keyring ./tor.keyring "signature.asc" "downloaded-package"

Windows (cmd.exe)

gpgv --keyring .\tor.keyring "signature.asc" "downloaded-package"

Например, для пакета `tor-browser-example.exe` первым аргументом будет `tor-browser-example.exe.asc`, а вторым `tor-browser-example.exe`. Это условные имена. Фактическую пару берите со страницы загрузки. Время создания подписи может отличаться от примера в документации. При ошибке проверки не открывайте пакет.

Если файл не открывается, проверьте рабочую папку, имена и порядок аргументов. Переименование само по себе не меняет подписанные байты. Если отсутствует открытый ключ, проверьте экспорт и путь к набору. При неверной подписи скачайте оба файла заново из официального источника. Причиной могут быть несовпадение версий, неполная загрузка или изменение пакета. Если проверка снова провалилась, оставьте пакет закрытым и обратитесь к документации Tor Project.

После замены любого файла повторите проверку. Убедитесь, что открываете именно проверенный экземпляр, особенно если браузер добавил числовой суффикс. Подпись подтверждает происхождение и целостность проверенных байтов относительно ключа. Обновления, настройки и использование браузера остаются отдельными вопросами. Если терминал выводит несколько сообщений, прочитайте итог проверки перед установкой. [1]