caudal/VERIFICAR.md

Comprobar una descarga de Caudal

Cada versión se publica con dos ficheros más, junto a los instalables:

• caudal-X.Y.Z-manifest.txt: la huella SHA-256 de cada fichero de la versión.
• caudal-X.Y.Z-manifest.txt.asc: la firma PGP de ese manifiesto, hecha por el autor.

Comprobar es dos cosas: que el manifiesto lo firmó quien dice (la firma) y que lo que has descargado es lo que el manifiesto describe (la huella). Las dos hacen falta: la firma sola no dice nada del instalable.

La clave pública del autor está en este repositorio, en esetheyers.asc (esetheyers <esetheyers@huveme.com>). Su huella es:

3648 41BA B31F 9D0F 3D07  5629 C34F 1F5D 7116 CA10

Aparece también en la página del repositorio y en «Acerca de» dentro de la aplicación: compárala en más de un sitio antes de fiarte de ella.

Con Sparrow

Si tienes Sparrow (1.8.3 o posterior) no hace falta nada más:

1. Deja en la misma carpeta el instalable, el manifiesto y su .asc.
2. En Sparrow, Herramientas › Verificar descarga (o arrastra los ficheros a su ventana).
3. Si Sparrow no conoce la clave, indícale el fichero esetheyers.asc.
4. Debe decir quién lo firmó y que la huella del fichero coincide.

Con órdenes

Linux:

gpg --import esetheyers.asc
gpg --verify caudal-X.Y.Z-manifest.txt.asc caudal-X.Y.Z-manifest.txt
sha256sum --check caudal-X.Y.Z-manifest.txt --ignore-missing

macOS: igual, con shasum -a 256 --check caudal-X.Y.Z-manifest.txt --ignore-missing en la última.

Windows (con Gpg4win instalado):

gpg --import esetheyers.asc
gpg --verify caudal-X.Y.Z-manifest.txt.asc caudal-X.Y.Z-manifest.txt
CertUtil -hashfile caudal-X.Y.Z-windows.exe SHA256

y compara a ojo esa huella con la línea del fichero en el manifiesto.

Qué debe salir: gpg --verify dice «Good signature» («Firma correcta») y enseña la huella de la clave, que tiene que ser la del autor; sha256sum dice OK junto al fichero que descargaste. El aviso de gpg de que la clave «no está certificada con una firma de confianza» es normal: solo significa que no le has dicho a tu gpg que te fías de ella.

Para quien publica

sh empaquetado/firmar-version.sh <carpeta con los ficheros> X.Y.Z [clave]

genera el manifiesto y su firma y los comprueba.