Як перевірити підпис Tor Browser перед установленням

Як перевірити підпис Tor Browser перед установленням

Завантажте настільний пакет з офіційної сторінки Tor Project для своєї ОС та архітектури. Збережіть підпис за посиланням поруч із пакетом. Його назва має збігатися з назвою пакета з доданим `.asc`. Покладіть обидва файли в окрему теку. Якщо браузер показує підпис як текст, збережіть файл за посиланням і перевірте розширення та вміст. До перевірки пакет не відкривайте. Для Android є окрема інструкція.

Установіть GnuPG за інструкцією Tor Project. Для Windows вона пропонує Gpg4win і командний рядок cmd.exe. Переконайтеся, що доступні `gpg` і `gpgv`. Знайдіть ключ розробників через Web Key Directory і звірте повний відбиток з актуальною документацією. Імені та адреси пошти недостатньо. Якщо пошук не вдався, скористайтеся офіційним способом імпорту відкритого ключа. Якщо відбитки різняться, зупиніться.

Звірте повні назви файлів, зокрема версію, платформу й архітектуру. Підпис попереднього випуску не підійде до нового пакета. У Windows увімкніть показ розширень у Провіднику. Якщо після встановлення GnuPG команду не знайдено, відкрийте термінал знову.

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org Повний відбиток: EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

gpg --fingerprint EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Експортуйте звірений ключ в окремий `tor.keyring`. Переконайтеся, що файл існує, не порожній і містить лише перевірений ключ. Якщо файл із такою назвою вже є і його вміст невідомий, використайте нову теку. `gpgv` довіряє ключам із зазначеного набору.

gpg --output tor.keyring --export EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Відкрийте термінал у теці з пакетом, підписом і набором ключів. Замініть умовні назви фактичними. Першим аргументом передайте підпис, другим пакет. Для шляхів із пробілами залиште лапки. Шукайте повідомлення про успішний підпис розробників. У сценарії перевірте також код завершення.

macOS / Linux

gpgv --keyring ./tor.keyring "signature.asc" "downloaded-package"

Windows (cmd.exe)

gpgv --keyring .\tor.keyring "signature.asc" "downloaded-package"

Для умовного пакета `tor-browser-example.exe` першим аргументом буде `tor-browser-example.exe.asc`, другим `tor-browser-example.exe`. Фактичну пару виберіть на сторінці завантаження. Час створення підпису може відрізнятися від прикладу в документації. Якщо перевірка не пройшла, не відкривайте пакет.

Якщо файл не відкривається, перевірте поточну теку, назви й порядок аргументів. Перейменування не змінює підписаних байтів. Якщо бракує відкритого ключа, перевірте експорт і шлях до набору. За неправильного підпису завантажте обидва файли знову з офіційної сторінки. Причиною може бути неповне завантаження, різні версії чи змінений пакет. Якщо повторна перевірка не вдалася, залиште пакет закритим і зверніться до інструкцій Tor Project.

Після заміни будь-якого файла повторіть перевірку. Перед установленням переконайтеся, що відкриваєте саме перевірений примірник, особливо якщо браузер додав до назви число. Підпис засвідчує походження й цілісність перевірених байтів відносно ключа. Оновлення, налаштування та використання браузера потребують окремої уваги. Якщо термінал виводить кілька повідомлень, прочитайте підсумок перевірки перед установленням. [1]