توجه: این دستورالعمل‌ها برای تأیید کد منبع Tor هستند. لطفاً دستورالعمل‌های درست را برای تأیید امضای مرورگر Tor دنبال کنید.

امضای دیجیتال، فرایندی است برای اطمینان از اینکه یک بستهٔ معین را توسعه‌دهندگان آن تولید کرده‌اند و دستکاری نشده است. در پایین توضیح می‌دهیم که چرا مهم است و چگونه می‌توان وارسی کرد که کد منبع tor که بارگیری می‌کنید، همان کدی است که ما ایجاد کرده‌ایم و مهاجمی آن را تغییر نداده است.

هر فایل در صفحهٔ بارگیری ما با دو فایل همراه است که «checksum» و «sig» برچسب‌گذاری شده‌اند و با بسته نام یکسانی دارند و به ترتیب دارای پسوندهای «‎.sha256sum‎» و «‎.sha256sum.asc» هستند.

فایل ‎.asc‎ تأیید خواهد کرد که فایل ‎.sha256sum (دربردارندهٔ جمع‌آزمای بسته) دستکاری نشده است. هنگامی که امضا صحت‌سنجی شد (در مورد چگونگی انجام آن پایین را ببینید)، صحت بسته می‌تواند با این دستور تأیید شود:

$ sha256sum -c *.sha256sum

این فایل‌ها به شما اجازه می‌دهند که تأیید کنید فایلی که بارگیری کرده‌اید دقیقاً همان فایلی است که ما قصد داشتیم شما دریافت کنید. این کار در هر مرورگر وب متفاوت است، اما عموماً می‌توانید با کلیک-راست روی پیوندهای «sig» و «checksum» و انتخاب گزینهٔ «save file as» این فایل را بارگیری کنید.

برای مثال، tor-0.4.6.7.tar.gz با tor-0.4.6.7.tar.gz.sha256sum.asc همراهی می‌شود. این‌ها نام‌های فایل نمونه هستند و دقیقاً با نام‌های فایلی که شما بارگیری می‌کنید مطابقت نخواهند داشت.

حال به شما نشان می‌دهیم چگونه می‌توانید امضای دیجیتال فایل بارگیری‌شده را روی سیستم‌عامل‌های متفاوت تأیید کنید. لطفاً توجه داشته باشید که امضا در لحظه‌ای که بسته امضا می‌شود، تاریخ‌گذاری می‌شود. بنابراین هر بار که فایلی جدید بارگذاری می‌شود یک امضای جدید با یک تاریخ متفاوت تولید می‌شود. مادامی که شما امضا را تأیید کرده‌اید لازم نیست نگران تفاوت تاریخ گزارش‌شده باشید.

نصب GnuPG

اول از همه نیاز است تا GnuPG را نصب داشته باشید تا بتوانید امضاها را تأیید کنید.

برای کاربران Windows:

اگر از Windows استفاده می‌کنید، Gpg4win را بارگیری کنید و نصب‌کنندهٔ آن را اجرا کنید.

برای تأیید امضا لازم است چندین فرمان را در خط فرمان Windows، یا cmd.exe وارد کنید.

برای کاربران macOS:

اگر از macOS استفاده می‌کنید، می‌توانید GPGTools را نصب کنید.

برای تأیید امضا لازم است چندین فرمان را در ترمینال (ذیل «Applications») تایپ کنید.

برای کاربران GNU/Linux:

اگر از GNU/Linux استفاده می‌کنید، پس احتمالاً GnuPG را از پیش روی سیستم خود دارید، چراکه بیشتر توزیع‌های GNU/Linux آن را از پیش نصب‌شده دارند.

برای تأیید امضا، باید چند فرمان را در یک پنجرهٔ ترمینال تایپ کنید. نحوهٔ انجام این کار بسته به توزیع شما متفاوت است.

واکشی کلید توسعه‌دهندگان Tor

کلیدهای زیر می‌توانند tarball را امضا کنند. انتظار نداشته باشید همهٔ آن‌ها کار کنند، چون بسته به اینکه چه کسی برای انجام انتشار در دسترس است، امضاکننده می‌تواند متفاوت باشد.

می توانید کلید را با پیوندهای ارائه‌شده در بالا یا با دستورهای زیر دریافت کنید:

$ gpg --auto-key-locate nodefault,wkd --locate-keys ahf@torproject.org
$ gpg --auto-key-locate nodefault,wkd --locate-keys dgoulet@torproject.org
$ gpg --auto-key-locate nodefault,wkd --locate-keys nickm@torproject.org

باید چیزی به این شکل شما نشان دهد (برای nickm):

gpg: key FE43009C4607B1FB: public key "Nick Mathewson <nickm@torproject.org>" imported
gpg: Total number processed: 1
‎‎gpg:               imported: 1
pub   rsa4096 2016-09-21 [C] [expires: 2025-10-04]
      2133BC600AB133E1D826D173FE43009C4607B1FB
uid           [ unknown] Nick Mathewson <nickm@torproject.org>
sub   rsa4096 2016-09-23 [S] [expires: 2025-10-04]
sub   rsa4096 2016-09-23 [E] [expires: 2025-10-04]

اگر پیغام خطایی دریافت کردید، مشکلی رخ داده است و تا زمانی که متوجه علت عدم کارکرد آن نشده‌اید، نمی‌توانید ادامه دهید. ممکن است بتوانید کلید را با استفاده از بخش راهکار موقت (با استفاده از کلید عمومی) وارد کنید.

پس از واردکردن کلید، می‌توانید آن را در یک فایل ذخیره کنید (آن را با اثرانگشتش در اینجا شناسایی کنید):

$ gpg --output ./tor.keyring --export 0x2133BC600AB133E1D826D173FE43009C4607B1FB

این فرمان باعث می‌شود تا کلید در فایلی که در مسیر ‎./tor.keyring قرار دارد، یعنی در شاخهٔ کنونی ذخیره شود. اگر پس از اجرای این فرمان ‎.‎/‎tor.keyring وجود نداشت، اشتباهی رخ داده است و تا زمانی که دلیل آن را متوجه نشوید، نمی‌توانید ادامه دهید.

در حال تایید امضا

برای تأیید امضای بسته‌ای که بارگیری کردید، باید فایل امضای «‎‎.‎‎‎sha256sum.asc متناظر آن و خود فایل ‎.sha256sum را بارگیری کنید و آن را با دستوری بررسی کنید که از GnuPG می‌خواهد فایلی را که بارگیری کردید تأیید کند.

مثال‌های زیر فرض می‌کنند که شما این دو فایل را در پوشهٔ «بارگیری‌ها»یتان دانلود کردید. توجه داشته باشید که این دستورات از نام‌های نمونه استفاده می‌کنند و نام فایل شما متفاوت خواهد بود: شما نسخهٔ متمایزی از 9.0 بارگیری خواهید کرد و ممکن است نسخهٔ انگلیسی (en-US) را بارگیری نکرده باشید.

برای کاربران Windows:

gpgv --keyring .\tor.keyring Downloads\tor-0.4.6.10.tar.gz.sha256sum.asc Downloads\tor-0.4.6.10.tar.gz.sha256sum

برای کاربران macOS:

gpgv --keyring ./tor.keyring ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum.asc ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum

برای کاربران BSD/Linux:

gpgv --keyring ./tor.keyring ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum.asc ~/Downloads/tor-0.4.6.10.tar.gz.sha256sum

نتیجهٔ دستور باید چیزی شبیه این باشد (بسته به اینکه کدام کلید آن را امضا کرده است):

gpgv: Signature made Mon 16 Aug 2021 04:44:27 PM -03
gpgv:                using RSA key 7A02B3521DC75C542BA015456AFEE6D49E92B601
gpgv: Good signature from "Nick Mathewson <nickm@torproject.org>"

اگر پیغام خطایی حاوی ‹چنین فایل یا شاخه‌ای وجود ندارد› دریافت می‌کنید، یا در یکی از مراحل گذشته اشتباهی شده است و یا اینکه فراموش کردید که این فرمان‌ها از نام‌های فایل نمونه استفاده می‌کنند و نام‌های فایل شما کمی متفاوت خواهند بود.

شاید همچنین بخواهید دربارهٔ GnuPG بیشتر بیاموزید.

تایید جمع‌آزما

اکنون که امضاهای جمع‌آزما را صحت‌سنجی کردیم، باید صحت بسته را تأیید کنیم.

برای کاربران Windows:

certUtil -hashfile tor-0.4.6.10.tar.gz.sha256sum SHA256

برای کاربران macOS:

shasum -a 256 tor-0.4.6.10.tar.gz.sha256sum

برای کاربران BSD/Linux:

sha256sum -c tor-0.4.6.10.tar.gz.sha256sum