Einen Download überprüfen

Vorläufige, ungeprüfte automatische Übersetzung. Im Zweifelsfall konsultieren Sie die englische Version, die als Referenzversion gilt.

Zu jeder hier veröffentlichten Datei gehören eine SHA-256-Prüfsumme und eine GPG-Signatur, signiert mit einem einzigen Schlüssel.

Importieren Sie den Schlüssel einmal, er gilt für jeden Download auf dieser Website: öffentlicher Schlüssel.

gpg --import cordelia-signing-key.asc

Führen Sie danach beide Befehle in dem Ordner aus, der die heruntergeladene Datei enthält, und setzen Sie deren Namen ein:

sha256sum -c FILE.sha256
gpg --verify FILE.asc FILE

Wie eine erfolgreiche Prüfung aussieht

sha256sum -c gibt eine Zeile aus, die auf OK endet. gpg --verify gibt mehrere Zeilen aus; beim ersten Mal sehen sie so aus, GPG kann sie in Ihrer Sprache ausgeben, und die im Schlüsselnamen enthaltene Kontaktadresse ist hier weggelassen:

gpg: Signature made Thu 17 Sep 2026 08:50:48 AM PDT
gpg:                using RSA key 96C905387D861330DF0ABF596F856B529AC60669
gpg: Good signature from "Venhola Consulting Release Signing" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: CEF6 8070 0501 5D06 CEBD  6160 3B59 6D62 DBC6 0119
     Subkey fingerprint: 96C9 0538 7D86 1330 DF0A  BF59 6F85 6B52 9AC6 0669

Diese Warnung bedeutet nicht, dass die Prüfung fehlgeschlagen ist. Good signature ist das entscheidende Ergebnis: Die Datei wurde mit diesem Schlüssel signiert und hat sich seitdem nicht verändert. Die Warnung besagt nur, dass Sie den Schlüssel nicht selbst beglaubigt haben, was kaum jemand tut. Ein echter Fehlschlag lautet BAD signature.

Der Signaturschlüssel

Ein einziger Schlüssel signiert alles, was hier veröffentlicht wird. Prüfen Sie, dass der importierte Schlüssel dieser ist, statt einem Schlüssel zu vertrauen, der einer Datei beiliegt:

gpg --fingerprint CEF6807005015D06CEBD61603B596D62DBC60119

Der Fingerabdruck lautet CEF6 8070 0501 5D06 CEBD 6160 3B59 6D62 DBC6 0119, RSA 4096, Signatur-Unterschlüssel 6F856B529AC60669, derselbe Schlüssel, den die Zeile Primary key fingerprint oben nennt. Ein Schlüssel mit abweichendem Fingerabdruck gehört nicht zu diesem Projekt, gleich welchen Namen er trägt.

Warum beides

Eine Prüfsumme schließt eine beschädigte Übertragung aus. Sie belegt nicht, woher die Datei stammt, jede Person kann zu einer veränderten Datei eine passende Prüfsumme veröffentlichen. Das leistet erst die Signatur.

Siehe auch