Jak ověřit, že stažený soubor je opravdu od nás

Proč se s tím vůbec obtěžovat

Protože oba způsoby, jak se stahování pokazí, jsou neviditelné: kopie hostovaná někde jinde, která vypadá úplně stejně, a pravý soubor pozměněný cestou k tobě. Ani jedno nevypadá v Průzkumníkovi jinak. Obojí ale u následujících kontrol propadne.

Třetí způsob je méně zlověstný a častější: stahování, které se zastavilo v půlce. Soubor tam je, má správný název a nespustí se. Kontrola otisku odhalí i tohle.

Kontrola 1 — podpis

Pravé tlačítko na souboru → Vlastnosti.

• Pokud tam je karta Digitální podpisy, jméno v podpisu musí být naše. Cizí jméno znamená stop — ten soubor není ten, který jsme vydali.
• Pokud taková karta chybí, soubor není podepsaný a tahle kontrola ti neřekne nic ani jedním směrem. Jedinou kontrolou je pak kontrola 2 a sama o sobě stačí.

Platný podpis ti řekne, kdo soubor podepsal a že se od té doby nezměnil. Neřekne ti, kterou verzi máš ani jestli je to ta, ke které tenhle web zveřejňuje otisk. To udělá otisk níž, a právě tahle kontrola rozhoduje.

Kontrola 2 — otisk

Otisk SHA-256 je hodnota o 64 znacích vypočítaná z každého bajtu souboru. Změň jediný bajt a změní se celá hodnota. Windows ji umí spočítat, aniž bys cokoli instaloval.

Otevři PowerShell ve složce, do které jsi stahoval (v Průzkumníkovi napiš do adresního řádku powershell a stiskni Enter):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Pokud je ve složce víc souborů w0a, vypíše řádek pro každý z nich. Použij ten, který patří souboru, jenž se chystáš spustit.

Totéž z příkazového řádku:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Výsledek porovnej se SHA-256, který je vypsaný pod tlačítkem pro stažení na naší stránce ke stažení. Musí souhlasit znak po znaku. Na velkých a malých písmenech nezáleží; na každém jiném rozdílu ano.

Když některá z kontrol neprojde

Soubor smaž. Nespouštěj ho, „abys viděl“. Stáhni ho znovu z w0a.app — adresu napiš do adresního řádku sám, nepoužívej odkaz, který ti někdo poslal.

Pokud otisk zase nesedí, nejdřív zkontroluj, jestli porovnáváš správný soubor. Prohlížeč mohl druhé stažení uložit s (1) na konci názvu a ten starý nechat na místě.

Pokud to pořád selhává, nebo pokud máš soubor odjinud než z našeho webu, dej nám vědět, odkud ho máš. O kopii w0a na jiném webu chceme vědět.

Co děláme my na své straně

Tlačítko ke stažení na našem webu je vypnuté, dokud neplatí dvě věci:

• adresa míří na naši vlastní doménu nebo na stránku vydání v našem vlastním veřejném repozitáři na GitHubu, a nikam jinam;
• vedle ní je zveřejněný správně utvořený otisk SHA-256.

Stránka tedy nemůže nabídnout stažení z adresy někoho cizího a nemůže ho nabídnout bez otisku, se kterým se dá porovnat.

Související

• Windows zablokoval stažení
• Antivirus mi smazal soubor
• Co o tobě w0a sbírá