Å verifisere lommebok- og node-programvare

Falske nedlastinger stjeler mynter. Sjekksumer og signaturer beviser at du har den ekte.

En modifisert lommebok kan sende myntene eller seedet ditt til en tyv mens den ser normal ut. Å verifisere nedlastingen beskytter mot falske nettsteder, hacket speil og lookalike-apper.

To sjekker

  • Sjekksum: filens SHA-256-hash må matche den offisielle listen. Dette beviser at filen ikke ble endret eller korrupt.
  • Signatur: listen over hasher må være signert av folk du stoler på. Ellers kunne en angriper bytte både fil og liste.

Eksempel: Bitcoin Core

  • Last ned utgivelsen, SHA256SUMS og SHA256SUMS.asc fra bitcoincore.org.
  • Sjekk at filens hash dukker opp i SHA256SUMS.
  • Bruk GPG til å verifisere SHA256SUMS.asc. Utgivelsen er signert av flere enkeltpersoner; nøklene deres er listet i guix.sigs-repositoriet.

Hvorfor mange signere betyr noe

Bitcoin Core bygges reproduserbart med Guix: uavhengige byggere kompilerer samme kildekode og må få bit-for-bit identiske filer. Når flere personer signerer de samme hashene, trenger du ikke stole på én utvikler eller server.

Praktiske vaner

  • Skriv adresser til lommeboknettsteder selv eller bruk bokmerker; stol ikke på annonser eller søkeresultater.
  • Installer mobilapper bare fra utviklerens egen lenke til den offisielle butikken.
  • Maskinvarelommebøker: kjøp direkte fra produsenten, og la enheten verifisere egen firmware.

«Don't trust, verify» gjelder programvare like mye som blokkjeden.