La firma digitale è un processo che assicura che un certo pacchetto sia stato creato dai suoi sviluppatori e che non sia stato manomesso. Qui sotto spieghiamo perché è importante e come verificare che il Tor che stai scaricando è quello che abbiamo creato e non è stato modificato da malintenzionati.

Il file[pagina dei download] (https://www.torproject.org/download/) è accompagnato con il nome dell'estenzione ".asc" da aprire con OpenPGP. Ti permettono di verificare che il file che hai scaricato è esattamente quello da noi previsto. For example, torbrowser-install-win64-8.5.5_en-US.exe is accompanied by torbrowser-install-win64-8.5.5_en-US.exe.asc.

Ora ti mostriamo come puoi verificare la firma digitale del file scaricato nei vari sistemi operativi. Ti informiamo che la firma è datata a quando il pacchetto è stato firmato. Pertanto, ogni volta che un nuovo file viene caricato una nuova firma viene generata con una data diversa. Finché hai verificato la tua firma non dovresti preoccuparti che la data riportata potrebbe cambiare.

Installazione di GnuPG

Prima di tutto hai bisogno di installare GnuPG prima di poter verificare le firme.

Per gli utenti Windows:

Se utilizzi Windows, [scarica Gpg4win] (https://gpg4win.org/download.html) e esegui l'installer.

Per verificare il file è necessario eseguire comandi da terminale cmd.exe da windows

Per gli utenti macOS:

Se stai usando MacOSX potresti installare [GTPTools] (https://www.gpgtools.org)

Per verificare li file dovresti necessitare della riga di comando (Applications-Utility)

Per gli utenti GNU/Linux:

Se stai usando GNU/Linux probabilmente hai già GnuPG nel tuo sistema, molte distribuzioni lo hanno preinstallato.

In ordine per verificare i file dovrai lanciare comandi dalla finestra di riga di comando. Come fare dipende dalla distribuzione in uso.

Fetching la chiave tor per sviluppatori

Il team Tor Browser firma le versioni del Tor Browser. Importare qusta chiave per sviluppatori di tor browser (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):

gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org

Questo dovrebbe farti vedere qualcosa come:

gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
gpg:Numero totale proccessati:1
gpg: importati: 1 
pub   rsa4096 2014-12-15 [C] [expires: 2020-08-24]
      EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
uid           [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>
sub   rsa4096 2018-05-26 [S] [expires: 2020-09-12]

Dopo aver importato la chiave, tu puoi salvarla in un file (identificato dall'improntadigitale qui)

gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Verificare la firma

Per verificare la veridicità del pacchetto scaricato, dovresti scaricare il file corrispondente ".asc" e verificare con il comando GnuPG il file.

L'esempio presume che hai scaricato due file dalla tua cartella "Downloads"

Per gli utenti Windows:

gpgv --keyring .\tor.keyring Downloads\torbrowser-install-win64-8.5.5_en-US.exe.asc Downloads\torbrowser-install-win64-8.5.5_en-US.exe

Per gli utenti macOS:

gpgv --keyring ./tor.keyring ~/Downloads/TorBrowser-8.5.5-osx64_en-US.dmg{.asc,}

For GNU/Linux users (change 64 to 32 if you have the 32-bit package):

gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-linux64-8.5.5_en-US.tar.xz{.asc,}

Il risultato del comando dovrebbe dare qualcosa come:

gpgv: Signature fatto il 07/08/19 04:03:49 Giorno tranquillo
gpgv: usa la chiave RSA EB774491D9FF06E2 
gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"

You may also want to learn more about GnuPG.