Verificare un download

Traduzione automatica provvisoria, non revisionata. In caso di dubbio, consultare la versione inglese, che fa fede.

Ogni file pubblicato qui è accompagnato da un checksum SHA-256 e da una firma GPG, firmati con un’unica chiave.

Importare la chiave una sola volta: vale per ogni download di questo sito: chiave pubblica.

gpg --import cordelia-signing-key.asc

Poi eseguire entrambi i comandi dalla cartella che contiene il file scaricato, sostituendone il nome:

sha256sum -c FILE.sha256
gpg --verify FILE.asc FILE

Come appare una verifica riuscita

sha256sum -c stampa una riga che termina con OK. gpg --verify ne stampa diverse; al primo tentativo appaiono così. GPG può stamparle nella propria lingua e qui è omesso l’indirizzo di contatto contenuto nel nome della chiave:

gpg: Signature made Thu 17 Sep 2026 08:50:48 AM PDT
gpg:                using RSA key 96C905387D861330DF0ABF596F856B529AC60669
gpg: Good signature from "Venhola Consulting Release Signing" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: CEF6 8070 0501 5D06 CEBD  6160 3B59 6D62 DBC6 0119
     Subkey fingerprint: 96C9 0538 7D86 1330 DF0A  BF59 6F85 6B52 9AC6 0669

Quell’avviso non significa che la verifica sia fallita. Good signature è il risultato che conta: il file è stato firmato con questa chiave e non è cambiato da allora. L’avviso dice soltanto che non si è certificata la chiave firmandola di persona, cosa che quasi nessuno fa. Un errore vero riporta BAD signature.

La chiave di firma

Un’unica chiave firma tutto ciò che viene pubblicato qui. Verificare che la chiave importata sia questa, invece di fidarsi di quella che accompagna un file:

gpg --fingerprint CEF6807005015D06CEBD61603B596D62DBC60119

L’impronta è CEF6 8070 0501 5D06 CEBD 6160 3B59 6D62 DBC6 0119, RSA 4096, sottochiave di firma 6F856B529AC60669, la stessa chiave indicata nella riga Primary key fingerprint qui sopra. Una chiave con impronta diversa non è quella di questo progetto, qualunque nome porti.

Perché entrambi

Un checksum esclude un trasferimento danneggiato. Non dimostra da dove proviene il file: chiunque può pubblicare un checksum corrispondente a un file alterato. È la firma a stabilirlo.

Vedi anche