Controleren of de download echt van ons komt

Om te controleren of de download van ons komt, bereken je de SHA-256-vingerafdruk ervan in PowerShell en vergelijk je die teken voor teken met die op onze downloadpagina; dat is de controle die beslist. Heeft het bestand een tabblad Digitale handtekeningen, dan moet de naam daarop de onze zijn. Mislukt een van beide controles, verwijder het bestand dan.

Waarom eigenlijk

Omdat de twee manieren waarop een download misgaat allebei onzichtbaar zijn: een elders gehoste kopie die er identiek uitziet, en een echt bestand dat onderweg naar jou is gewijzigd. Geen van beide ziet er in Verkenner anders uit. Allebei zakken ze voor de controles hieronder.

Een derde manier is minder kwaadaardig en komt vaker voor: een download die halverwege is gestopt. Het bestand staat er, het heeft de juiste naam, en het start niet. De vingerafdrukcontrole vangt ook dat op.

Controle 1 — de handtekening

Rechtsklik op het bestand → Eigenschappen.

• Is er een tabblad Digitale handtekeningen, dan moet de naam in de handtekening de onze zijn. Staat er de naam van iemand anders, stop dan — dat bestand is niet het bestand dat wij hebben gepubliceerd.
• Ontbreekt dat tabblad, dan is het bestand niet ondertekend, en zegt deze controle je hoe dan ook niets. Controle 2 is dan de enige controle, en die is op zichzelf genoeg.

Een geldige handtekening vertelt je wie het bestand heeft ondertekend en dat het sindsdien niet is gewijzigd. Hij vertelt je niet welke build je hebt, of dat het de build is waarvan deze site een vingerafdruk publiceert. Dat doet de vingerafdruk hieronder, en dat is de controle die beslist.

Controle 2 — de vingerafdruk

Een SHA-256-vingerafdruk is een waarde van 64 tekens die uit elke byte van het bestand wordt berekend. Verander één byte en de hele waarde verandert. Windows kan hem berekenen zonder dat je iets installeert.

Open PowerShell in de map waarin je hebt gedownload (typ in Verkenner powershell in de adresbalk en druk op Enter):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Staan er meerdere w0a-bestanden in de map, dan drukt het voor elk een regel af. Gebruik die van het bestand dat je gaat uitvoeren.

Hetzelfde vanuit de opdrachtprompt:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Vergelijk het resultaat met de SHA-256 die onder de downloadknop op onze downloadpagina staat. Hij moet teken voor teken overeenkomen. Hoofdletters of kleine letters maken niet uit; elk ander verschil wel.

Als een van beide controles mislukt

Verwijder het bestand. Voer het niet uit "om te kijken". Download opnieuw vanaf w0a.app, ingetypt in de adresbalk, niet via een link die iemand je heeft gestuurd.

Klopt de vingerafdruk weer niet, controleer dan eerst of je het juiste bestand vergelijkt. Een browser kan de tweede download met (1) achter de naam hebben opgeslagen en het oude bestand hebben laten staan.

Mislukt het nog steeds, of heb je het bestand ergens anders vandaan dan van onze website, laat ons weten waar je het vandaan hebt. Een kopie van w0a op een andere site is iets waarvan we op de hoogte willen zijn.

Wat wij aan onze kant doen

De downloadknop op onze website staat uit, tenzij twee dingen kloppen:

• het adres wijst naar ons eigen domein, of naar de releasepagina van onze eigen openbare GitHub-repository, en nergens anders naartoe;
• er staat een correct opgebouwde SHA-256-vingerafdruk naast.

De pagina kan dus geen download aanbieden vanaf het adres van een onbekende, en ook geen download zonder vingerafdruk om hem mee te controleren.

Gerelateerd

• Mijn antivirus heeft het bestand verwijderd
• Wat w0a over je verzamelt