Verificar descargas

Qué está firmado

Cada directorio de versión en releases.ant0.link contiene los instaladores, un SHA256SUMS.txt con el hash de cada archivo, y SHA256SUMS.txt.minisig, la firma minisign de esa lista. La clave de firma nunca sale del servidor de compilación de Ant0; su mitad pública es:

RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9

La misma clave firma el motor del navegador que descarga la app, y el actualizador integrado de la app rechaza cualquier cosa que no se verifique. La página de descarga muestra el SHA-256 de cada archivo actual para que una verificación rápida no necesite herramientas adicionales.

Verificación rápida: el hash

Windows (PowerShell):

Get-FileHash .\Ant0_<version>_x64-setup.exe -Algorithm SHA256

Linux:

sha256sum Ant0_<version>_amd64.deb

Reemplaza <version> con la versión que aparece en la página de descarga, luego compara el resultado con el SHA-256 que se muestra allí. Deben coincidir exactamente.

Verificación completa: la firma

La firma demuestra que la lista de hashes provino de Ant0; verificar el archivo contra la lista demuestra entonces que el archivo no fue alterado.

Linux (apt install minisign en Debian y Ubuntu):

V=<version>; B=https://releases.ant0.link/ant0-releases/desktop/$V
curl -fsSLO "$B/SHA256SUMS.txt" -O "$B/SHA256SUMS.txt.minisig" -O "$B/Ant0_${V}_amd64.deb"
minisign -Vm SHA256SUMS.txt -P RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9
sha256sum -c --ignore-missing SHA256SUMS.txt

Windows: minisign está disponible a través de winget install minisign o desde las versiones del proyecto. Luego, en la carpeta con los tres archivos:

minisign -Vm SHA256SUMS.txt -P RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9
(Get-FileHash .\Ant0_<version>_x64-setup.exe -Algorithm SHA256).Hash.ToLower() -eq ((Get-Content SHA256SUMS.txt | Select-String 'x64-setup.exe') -split ' ')[0]

Signature and comment signature verified seguido de True (o OK en Linux) significa que el archivo es el que publicó Ant0.

Windows SmartScreen

El instalador de Windows aún no está firmado con un certificado Authenticode, por lo que Windows muestra “Windows protegió tu PC” en el primer inicio. La firma minisign anterior es la verificación que importa; una vez que el hash coincida, elige Más información → Ejecutar de todas formas. La firma de código llegará antes de que la app salga del acceso anticipado.

Si algo no coincide

No instales. Descarga de nuevo desde la página de descarga; si sigue sin coincidir, no uses ese archivo. Reporta el nombre del archivo y el hash a security@ant0.link.