Проверить, что загрузка действительно от нас

Зачем это вообще

Потому что оба способа, которыми загрузка идёт не так, невидимы: копия, размещённая где-то ещё и выглядящая точно так же, и настоящий файл, изменённый по дороге к тебе. Ни то ни другое в проводнике не выглядит иначе. И то и другое проваливает проверки ниже.

Проверка 1 — издатель

w0a подписан кодовой подписью, поэтому правый клик → Свойства показывает вкладку Цифровые подписи, и подпись в ней наша. Если вкладки нет или в подписи стоит чужое имя — остановись: этот файл не тот, который мы выпустили.

Действительная подпись говорит, что файл наш и что после подписания его никто не менял. Она не говорит, какая именно сборка у тебя и та ли это, для которой на этой странице опубликован хеш, — это делает отпечаток ниже. Сделай обе проверки.

Проверка 2 — отпечаток

Открой PowerShell в папке, куда ты скачал файл:

Get-FileHash .\w0a.exe -Algorithm SHA256

Сравни результат с SHA-256, напечатанным под кнопкой загрузки на нашей главной странице. Он должен совпасть символ в символ.

Хеш, списанный оттуда же, откуда взят файл, стоит меньше, чем хеш из другого места. Именно поэтому мы публикуем его на сайте, а не рядом с файлом.

Если хоть одна проверка не прошла

Удали файл. Скачай заново с w0a.app — набрав адрес руками, а не по ссылке, которую тебе кто-то прислал.

Если не прошло и во второй раз или если ты взял файл не с нашего сайта, сообщи нам, откуда он у тебя. Мы следим за ссылкой на загрузку круглосуточно, и сообщение от тебя — вторая пара глаз на ней.

Что делаем мы со своей стороны

Ссылка на загрузку и файл за ней проверяются круглосуточно из нескольких сетей, а хеш файла пересчитывается и сравнивается с опубликованным. Если байты за ссылкой когда-нибудь изменятся без того, чтобы мы выпустили новую версию, загрузка уходит в офлайн автоматически, а не после того, как кто-то это заметит.