Проверка загрузок

Что подписано

В каждой папке выпуска на releases.ant0.link лежат установщики, файл SHA256SUMS.txt с хешем каждого файла и SHA256SUMS.txt.minisig — подпись minisign этого списка. Ключ подписи никогда не покидает сервер сборки Ant0; его открытая часть:

RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9

Тем же ключом подписан движок браузера, который скачивает приложение, а встроенное в приложение обновление отказывается принимать всё, что не прошло проверку. На странице загрузки указан SHA-256 каждого актуального файла, так что для быстрой проверки дополнительные программы не нужны.

Быстрая проверка: хеш

Windows (PowerShell):

Get-FileHash .\Ant0_<version>_x64-setup.exe -Algorithm SHA256

Linux:

sha256sum Ant0_<version>_amd64.deb

Замените <version> на версию, указанную на странице загрузки, и сравните результат с SHA-256, который там напечатан. Они должны совпасть полностью.

Полная проверка: подпись

Подпись доказывает, что список хешей выпустил Ant0; сверка файла со списком затем доказывает, что файл не изменён.

Linux (apt install minisign в Debian и Ubuntu):

V=<version>; B=https://releases.ant0.link/ant0-releases/desktop/$V
curl -fsSLO "$B/SHA256SUMS.txt" -O "$B/SHA256SUMS.txt.minisig" -O "$B/Ant0_${V}_amd64.deb"
minisign -Vm SHA256SUMS.txt -P RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9
sha256sum -c --ignore-missing SHA256SUMS.txt

Windows: minisign можно получить через winget install minisign или из выпусков проекта. Затем в папке с тремя файлами выполните:

minisign -Vm SHA256SUMS.txt -P RWTvXmwMqczy1xMs5KJs+qS9x7LmikRzIX+la3WGmWIFEKvQvR1JW8d9
(Get-FileHash .\Ant0_<version>_x64-setup.exe -Algorithm SHA256).Hash.ToLower() -eq ((Get-Content SHA256SUMS.txt | Select-String 'x64-setup.exe') -split ' ')[0]

Сообщение Signature and comment signature verified, а за ним True (или OK в Linux) означает, что файл именно тот, который опубликовал Ant0.

Windows SmartScreen

Установщик для Windows пока не подписан сертификатом Authenticode, поэтому при первом запуске Windows показывает «Windows защитила ваш компьютер». Важна подпись minisign выше; когда хеш совпал, выберите Подробнее → Выполнить в любом случае. Подпись кода появится до выхода приложения из раннего доступа.

Если что-то не совпало

Не устанавливайте файл. Скачайте его снова со страницы загрузки; если он по-прежнему не совпадает, не используйте его. Сообщите имя файла и хеш на security@ant0.link.