Verificar Descargas

Android

Para Android, puede verificar que el certificado de firma en la APK coincida con una de las siguientes firmas digitales SHA256:

Para descargas de F-Droid: 9D:B6:67:8E:D7:4C:88:12:4B:82:5E:8F:90:50:2B:76 CD:97:C5:EC:CC:9A:A9:2F:40:33:02:71:02:D9:AA:9D
Otras descargas de APK: 35:5B:E2:C3:8E:C6:73:83:C1:02:FB:E0:3E:84:C4:BC 3E:6F:89:06:F8:D3:66:91:4F:84:52:82:08:13:2A:EE

Para imprimir las firmas SHA256 del certificado de firma de APK, puede usar, por ejemplo: keytool -printcert -jarfile <APK-file>

Escritorio

Abre el terminal y cambia de directorio al archivo que quieras comprobar, por ejemplo:
deltachat-desktop_<VERSION>_amd64.deb
Descargar las sumas de verificación firmadas y la clave de importación; Hay que sustituir <VERSION> por el número de versión, p. ej., 2.33.0
```
wget https://download.delta.chat/desktop/v<VERSION>/signed-checksums.txt
wget https://delta.chat/assets/deltachat_certificate.asc.txt
gpg --import deltachat_certificate.asc.txt
```
La clave también está disponible en keys.openpgp.org

Verifica y comprueba los resultados

gpg --decrypt signed-checksums.txt | shasum -a 512 --ignore-missing -c -

Resultado esperado:

gpg: Good signature from "deltachat-signing@merlinux.eu" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 63CD 1F81 5BA5 6051 8376 999C 626E 26C8 1695 1308
<FILE>: OK

Asegúrate de que la huella digital coincida y de que el archivo que deseas verificar aparezca en la lista. La advertencia es normal, ya que no has marcado explícitamente la clave como de confianza.

Si GPG no funciona correctamente en tu sistema, puedes utilizar
cat signed-checksums.txt | rsop inline-verify deltachat_certificate.asc.txt o
cat signed-checksums.txt | grep deltachat | shasum -a 512 --ignore-missing -c - - ten en cuenta que este último comprueba la integridad, pero no la clave del desarrollador.