Перевірка, що завантаження справді від нас

Щоб перевірити, що завантаження прийшло від нас, обчисли його відбиток SHA-256 у PowerShell і порівняй його, символ за символом, з тим, що на нашій сторінці завантаження; саме ця перевірка вирішальна. Якщо у файлу є вкладка Цифрові підписи, ім'я на ній має бути нашим. Якщо будь-яка з перевірок не проходить, видали файл.

Навіщо це взагалі

Бо обидва способи, якими завантаження псується, невидимі: копія, розміщена десь інде й на вигляд точнісінько така сама, і справжній файл, змінений дорогою до тебе. У Провіднику жодне з цього не виглядає інакше. Обидва не проходять перевірок нижче.

Третій спосіб менш зловісний і трапляється частіше: завантаження, що обірвалося на півдорозі. Файл є, назва в нього правильна, а запускатися він не хоче. Перевірка відбитка ловить і це.

Перевірка 1 — підпис

Правий клік по файлу → Властивості.

• Якщо там є вкладка Цифрові підписи, ім'я в підписі має бути нашим. Чуже ім'я означає «зупинись» — цей файл не той, який ми опублікували.
• Якщо такої вкладки немає, файл не підписаний, і ця перевірка не каже тобі нічого ні в той, ні в інший бік. Тоді перевірка 2 — єдина, і її самої досить.

Дійсний підпис каже, хто підписав файл і що відтоді він не змінювався. Він не каже, яка саме в тебе збірка й чи та це, для якої цей сайт публікує відбиток. Це робить відбиток нижче, і вирішує саме ця перевірка.

Перевірка 2 — відбиток

Відбиток SHA-256 — це значення з 64 символів, обчислене з кожного байта файлу. Зміни один байт — і зміниться все значення. Windows може обчислити його, нічого не встановлюючи.

Відкрий PowerShell у теці, куди ти завантажив файл (у Провіднику введи powershell в адресний рядок і натисни Enter):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Якщо в теці більше одного файлу w0a, команда виведе рядок для кожного. Бери рядок того файлу, який ти збираєшся запустити.

Те саме з командного рядка:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Порівняй результат із SHA-256, надрукованим під кнопкою завантаження на нашій сторінці завантаження. Він має збігатися символ у символ. Великі чи малі літери значення не мають; будь-яка інша відмінність — має.

Якщо якась із перевірок не пройшла

Видали файл. Не запускай його, «щоб подивитися». Завантаж його знову з w0a.app, набравши адресу в адресному рядку вручну, а не за посиланням, яке тобі хтось надіслав.

Якщо відбиток знову не той, спершу перевір, чи порівнюєш ти правильний файл. Браузер міг зберегти друге завантаження з (1) у кінці назви й залишити старе на місці.

Якщо й тоді не проходить або якщо ти взяв файл деінде, не на нашому сайті, скажи нам, звідки він у тебе. Про копію w0a на іншому сайті ми хочемо знати.

Що ми робимо зі свого боку

Кнопка завантаження на нашому сайті вимкнена, доки не виконано дві умови:

• адреса веде на наш власний домен або на сторінку релізу нашого власного публічного репозиторію на GitHub, і більше нікуди;
• поруч із нею опубліковано коректно сформований відбиток SHA-256.

Тож сторінка не може запропонувати завантаження з чужої адреси і не може запропонувати його без відбитка, з яким його можна звірити.

Пов'язане

• Антивірус видалив файл
• Що w0a збирає про тебе