Verificar downloads

O que é assinado

Cada diretório de versão em releases.ant0.link contém os instaladores, um SHA256SUMS.txt com o hash de cada arquivo e SHA256SUMS.txt.minisig, a assinatura minisign dessa lista. A chave de assinatura nunca sai do servidor de compilação do Ant0; a metade pública dela é:

RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9

A mesma chave assina o motor do navegador que o app baixa, e o atualizador interno do app recusa qualquer coisa que não passe pela verificação. A página de download mostra o SHA-256 de cada arquivo atual, então uma verificação rápida não precisa de nenhuma ferramenta extra.

Verificação rápida: o hash

Windows (PowerShell):

Get-FileHash .\Ant0_<version>_x64-setup.exe -Algorithm SHA256

Linux:

sha256sum Ant0_<version>_amd64.deb

Substitua <version> pela versão mostrada na página de download e compare o resultado com o SHA-256 exibido lá. Eles devem corresponder exatamente.

Verificação completa: a assinatura

A assinatura prova que a lista de hashes veio do Ant0; verificar o arquivo contra a lista prova que ele não foi alterado.

Linux (apt install minisign no Debian e Ubuntu):

V=<version>; B=https://releases.ant0.link/ant0-releases/desktop/$V
curl -fsSLO "$B/SHA256SUMS.txt" -O "$B/SHA256SUMS.txt.minisig" -O "$B/Ant0_${V}_amd64.deb"
minisign -Vm SHA256SUMS.txt -P RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9
sha256sum -c --ignore-missing SHA256SUMS.txt

Windows: o minisign está disponível por winget install minisign ou nos lançamentos do projeto. Depois, na pasta com os três arquivos:

minisign -Vm SHA256SUMS.txt -P RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9
(Get-FileHash .\Ant0_<version>_x64-setup.exe -Algorithm SHA256).Hash.ToLower() -eq ((Get-Content SHA256SUMS.txt | Select-String 'x64-setup.exe') -split ' ')[0]

Signature and comment signature verified seguido de True (ou OK no Linux) significa que o arquivo é o que o Ant0 publicou.

Windows SmartScreen

O instalador do Windows ainda não tem um certificado Authenticode, então o Windows mostra “O Windows protegeu seu computador” na primeira execução. A assinatura minisign acima é a verificação que importa; após o hash corresponder, escolha Mais informações → Executar assim mesmo. A assinatura de código virá antes de o app sair do acesso antecipado.

Se algo não corresponder

Não instale. Baixe novamente pela página de download; se ainda não corresponder, não use esse arquivo. Reporte o nome do arquivo e o hash para security@ant0.link.