¿Cómo puedo verificar la firma del Tor Browser?
La firma digital es un proceso que asegura que un paquete fue generado por sus desarrolladores y no ha sido alterado. Debajo explicamos por qué es importante y cómo verificar que el Navegador Tor que descargas es el que creamos y no ha sido modificado por un atacante.
Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".
Por ejemplo, tor-browser-windows-x86_64-portable-13.0.1.exe va acompañado de tor-browser-windows-x86_64-portable-13.0.1.exe.asc. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.
Por favor ten en cuenta que una firma es fechada en el momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. En la medida en que hayas verificado la firma, no deberías preocuparte si la fecha reportada varía con la del ejemplo.
Instalar GnuPG
En primer lugar, necesitas tener GnuPG instalado antes de verificar firmas. Si usas Windows, descarga Gpg4win y ejecuta el instalador. A fin de verificar la firma, necesitarás escribir unos pocos comandos en la utilidad de línea de comandos de Windows, cmd.exe.
Obtener la clave de Desarrolladores de Tor
El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):
gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org
Esto debería de mostrar algo parecido a:
gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
gpg: Total number processed: 1
gpg: imported: 1
EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
uid [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>
NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.
Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).
Tras importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):
gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Este comando tiene como resultado que la clave sea guardada a un archivo que se encuentra en la ruta ./tor.keyring, por ejemplo, en la carpeta actual. Si ./tor.keyring no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.
Verificar la firma
Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.
Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.
Para los usuarios de Windows (cambia x86_64 por i686 si tienes el paquete de 32 bits):
gpgv --keyring .\tor.keyring Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe.asc Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe
El resultado del comando debe contener:
gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"
Si te aparecen mensajes de error conteniendo 'No existe el archivo o directorio', o bien algo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.
Actualizar la clave PGP
Ejecuta este comando para actualizar la clave de inicio de sesión de desarrollador del Navegador Tor en tu juego de llaves desde el servidor de claves. Esto también buscará las nuevas subclaves.
gpg --refresh-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Método alternativo (usando una clave pública)
Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:
curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -
La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Es posible que quieras saber más sobre GnuPG.
Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".
Por ejemplo, tor-browser-macos-14.5.6.dmg va acompañado de tor-browser-macos-14.5.6.dmg.asc. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.
Por favor ten en cuenta que una firma es fechada en el momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. En la medida en que hayas verificado la firma, no deberías preocuparte si la fecha reportada varía con la del ejemplo.
Instalar GnuPG
En primer lugar, necesitas tener GnuPG instalado antes de verificar firmas. Si estás usando macOS, puedes instalar GPGTools.
Para comprobar la validez de la firma digital, debes escribir unos cuantos comandos en el Terminal (está en "Aplicaciones").
Obtener la clave de Desarrolladores de Tor
El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):
gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org
Esto debería de mostrar algo parecido a:
gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
gpg: Total number processed: 1
gpg: imported: 1
EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
uid [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>
NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.
Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).
Tras importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):
gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Este comando tiene como resultado que la clave sea guardada a un archivo que se encuentra en la ruta ./tor.keyring, por ejemplo, en la carpeta actual. Si ./tor.keyring no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.
Verificar la firma
Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.
Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.
Para usuarios macOS:
gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-macos-13.0.1.dmg.asc ~/Downloads/tor-browser-macos-13.0.1.dmg
El resultado del comando debe contener:
gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"
Si te aparecen mensajes de error conteniendo 'No existe el archivo o directorio', o bien algo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.
Método alternativo (usando una clave pública)
Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:
curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -
La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. La llave también se puede recuperar ejecutando el siguiente comando:
gpg --keyserver keys.openpgp.org --search-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Es posible que quieras saber más sobre GnuPG.
Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".
Por ejemplo, tor-browser-linux-x86_64-14.5.6.tar.xz va acompañado de tor-browser-linux-x86_64-14.5.6.tar.xz.asc. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.
Por favor ten en cuenta que una firma es fechada en el momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. En la medida en que hayas verificado la firma, no deberías preocuparte si la fecha reportada varía con la del ejemplo.
Instalar GnuPG
Si usas GNU/Linux, probablemente ya tengas instalado GnuPG, la mayoría de distribuciones lo incluyen.
Con el fin de comprobar la validez de la firma digital, debes teclear unos pocos comandos en una ventana de terminal. Cómo hacerlo exactamente varía dependiendo de qué depende tu distribución.
Obtener la clave de Desarrolladores de Tor
El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):
gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org
Esto debería de mostrar algo parecido a:
gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
gpg: Total number processed: 1
gpg: imported: 1
EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
uid [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>
NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.
Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).
Tras importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):
gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Este comando tiene como resultado que la clave sea guardada a un archivo que se encuentra en la ruta ./tor.keyring, por ejemplo, en la carpeta actual. Si ./tor.keyring no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.
Verificar la firma
Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.
Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.
Para usuarios de GNU/Linux (cambia x86_64 por i686 si tienes el paquete de 32 bits):
gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz.asc ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz
El resultado del comando debe contener:
gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"
Si te aparecen mensajes de error conteniendo 'No existe el archivo o directorio', o bien algo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.
Actualizar la clave PGP
Ejecuta este comando para actualizar la clave de inicio de sesión de desarrollador del Navegador Tor en tu juego de llaves desde el servidor de claves. Esto también buscará las nuevas subclaves.
gpg --refresh-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Método alternativo (usando una clave pública)
Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:
curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -
La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. La llave también se puede recuperar ejecutando el siguiente comando:
gpg --keyserver keys.openpgp.org --search-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
Es posible que quieras saber más sobre GnuPG.