Controllare che il download venga davvero da noi

Per verificare che il download venga da noi, calcola la sua impronta SHA-256 in PowerShell e confrontala, carattere per carattere, con quella della nostra pagina di download; è questo il controllo che decide. Se il file ha una scheda Firme digitali, il nome che c'è sopra deve essere il nostro. Se uno dei due controlli fallisce, elimina il file.

Perché farlo

Perché i due modi in cui un download va storto sono tutti e due invisibili: una copia ospitata da qualche altra parte che sembra identica, e un file vero alterato lungo la strada fino a te. Nessuno dei due appare diverso in Esplora file. Tutti e due falliscono i controlli qui sotto.

Un terzo modo è meno sinistro e più comune: un download che si è fermato a metà. Il file c'è, ha il nome giusto, e non parte. Anche il controllo dell'impronta se ne accorge.

Controllo 1 — la firma

Tasto destro sul file → Proprietà.

• Se c'è una scheda Firme digitali, il nome sulla firma deve essere il nostro. Se c'è il nome di qualcun altro, fermati — quel file non è quello che abbiamo pubblicato.
• Se quella scheda non c'è, il file non è firmato, e questo controllo non ti dice niente né in un senso né nell'altro. A quel punto il controllo 2 è l'unico, e basta da solo.

Una firma valida ti dice chi ha firmato il file e che da allora non è cambiato. Non ti dice quale build hai, né se è quella di cui questo sito pubblica l'impronta. A questo serve l'impronta qui sotto, ed è il controllo che decide.

Controllo 2 — l'impronta

Un'impronta SHA-256 è un valore di 64 caratteri calcolato a partire da ogni byte del file. Cambia un byte e cambia tutto il valore. Windows sa calcolarla senza installare niente.

Apri PowerShell nella cartella in cui hai scaricato (in Esplora file, scrivi powershell nella barra degli indirizzi e premi Invio):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Se nella cartella c'è più di un file di w0a, stampa una riga per ciascuno. Usa quella del file che stai per avviare.

La stessa cosa dal Prompt dei comandi:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Confronta il risultato con lo SHA-256 stampato sotto il pulsante di download nella nostra pagina di download. Deve coincidere carattere per carattere. Maiuscole o minuscole non contano; ogni altra differenza sì.

Se uno dei due controlli fallisce

Cancella il file. Non avviarlo "per vedere". Scaricalo di nuovo da w0a.app, digitato nella barra degli indirizzi, non da un link che ti ha mandato qualcuno.

Se l'impronta è di nuovo sbagliata, controlla prima di tutto di stare confrontando il file giusto. Il browser potrebbe aver salvato il secondo download con (1) alla fine del nome e lasciato al suo posto quello vecchio.

Se fallisce ancora, o se hai preso il file da un posto che non è il nostro sito, dicci da dove l'hai preso. Una copia di w0a su un altro sito è una cosa che vogliamo sapere.

Cosa facciamo dalla nostra parte

Il pulsante di download sul nostro sito resta disattivato a meno che non siano vere due cose:

• l'indirizzo punta al nostro dominio, o alla pagina delle release del nostro repository pubblico su GitHub, e a nient'altro;
• accanto è pubblicata un'impronta SHA-256 ben formata.

Quindi la pagina non può offrire un download dall'indirizzo di uno sconosciuto, e non può offrirne uno senza un'impronta con cui controllarlo.

Correlati

• L'antivirus ha rimosso il file
• Cosa raccoglie w0a su di te