Prüfen, ob der Download wirklich von uns kommt

Warum überhaupt

Weil die beiden Arten, auf die ein Download schiefgeht, beide unsichtbar sind: eine anderswo gehostete Kopie, die identisch aussieht, und eine echte Datei, die auf dem Weg zu dir verändert wurde. Keines von beidem sieht im Explorer anders aus. Beides fällt bei den folgenden Prüfungen durch.

Eine dritte Art ist weniger finster und häufiger: ein Download, der mittendrin abgebrochen ist. Die Datei ist da, sie hat den richtigen Namen, und sie startet nicht. Die Fingerabdruck-Prüfung erkennt auch das.

Prüfung 1 — die Signatur

Rechtsklick auf die Datei → Eigenschaften.

• Gibt es einen Reiter Digitale Signaturen, muss der Name in der Signatur unserer sein. Steht dort ein fremder Name, halt an — diese Datei ist nicht die, die wir veröffentlicht haben.
• Gibt es keinen solchen Reiter, ist die Datei nicht signiert, und diese Prüfung sagt dir weder in die eine noch in die andere Richtung etwas. Dann ist Prüfung 2 die einzige Prüfung, und sie reicht für sich allein.

Eine gültige Signatur sagt dir, wer die Datei signiert hat und dass sie sich seitdem nicht verändert hat. Sie sagt dir nicht, welchen Build du hast oder ob es der ist, für den diese Website einen Fingerabdruck veröffentlicht. Das macht der Fingerabdruck weiter unten, und er ist die Prüfung, die entscheidet.

Prüfung 2 — der Fingerabdruck

Ein SHA-256-Fingerabdruck ist ein Wert aus 64 Zeichen, der aus jedem Byte der Datei berechnet wird. Ändert sich ein Byte, ändert sich der ganze Wert. Windows kann ihn berechnen, ohne dass du etwas installierst.

Öffne PowerShell in dem Ordner, in den du heruntergeladen hast (tipp im Explorer powershell in die Adressleiste und drück die Eingabetaste):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Liegt mehr als eine w0a-Datei im Ordner, wird für jede eine Zeile ausgegeben. Nimm die Zeile der Datei, die du gleich ausführen willst.

Dasselbe in der Eingabeaufforderung:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Vergleiche das Ergebnis mit dem SHA-256, der auf unserer Download-Seite unter dem Download-Button steht. Es muss Zeichen für Zeichen übereinstimmen. Groß- oder Kleinschreibung spielt keine Rolle; jeder andere Unterschied schon.

Wenn eine der beiden Prüfungen fehlschlägt

Lösche die Datei. Führ sie nicht aus, „um zu sehen“. Lade sie erneut von w0a.app herunter, in die Adressleiste getippt, nicht über einen Link, den dir jemand geschickt hat.

Stimmt der Fingerabdruck wieder nicht, prüf zuerst, ob du die richtige Datei vergleichst. Ein Browser hat den zweiten Download vielleicht mit (1) am Ende des Namens gespeichert und den alten an seinem Platz gelassen.

Schlägt es dann immer noch fehl, oder hast du die Datei von irgendwo, das nicht unsere Website ist, sag uns Bescheid, woher du sie hast. Von einer Kopie von w0a auf einer anderen Website wollen wir wissen.

Was wir auf unserer Seite tun

Der Download-Button auf unserer Website ist abgeschaltet, solange nicht zwei Dinge zutreffen:

• die Adresse zeigt auf unsere eigene Domain oder auf die Release-Seite unseres eigenen öffentlichen GitHub-Repositorys, und auf nichts anderes;
• daneben ist ein korrekt geformter SHA-256-Fingerabdruck veröffentlicht.

Die Seite kann also keinen Download von der Adresse eines Fremden anbieten, und sie kann keinen ohne einen Fingerabdruck anbieten, an dem man ihn prüfen kann.

Verwandt

• Windows hat den Download blockiert
• Mein Virenscanner hat die Datei gelöscht
• Was w0a über dich erfasst