ダウンロードが本当に私たちからのものか確認する

確認する理由

ダウンロードがおかしくなる 2 つの経路は、どちらも目に見えないからです: 見た目がまったく同じで別の場所に置かれたコピーと、届くまでの途中で改ざんされた本物のファイルです。どちらもエクスプローラーでは見分けがつきません。どちらも下の確認には通りません。

3 つ目の経路は、それほど悪意のあるものではなく、より頻繁に起こります: 途中で止まったダウンロードです。ファイルはあり、名前も正しいのに、実行できません。これもフィンガープリントの確認で見つかります。

確認 1: 署名

ファイルを右クリックしてプロパティを開きます。

• デジタル署名タブがある場合は、署名の名前が私たちのものでなければなりません。別の人の名前であれば、そこで中止してください。そのファイルは私たちが公開したものではありません。
• このタブがない場合、ファイルには署名がなく、この確認ではどちらとも判断できません。その場合は確認 2 が唯一の確認になり、それだけで十分です。

有効な署名からわかるのは、誰がファイルに署名したかと、それ以降ファイルが変更されていないことです。手元にあるのがどのビルドなのか、このサイトがフィンガープリントを公開しているビルドなのかはわかりません。それを確かめるのが下のフィンガープリントで、決め手になるのはこちらの確認です。

確認 2: フィンガープリント

SHA-256 フィンガープリントは、ファイルのすべてのバイトから計算される 64 文字の値です。1 バイトでも変わると、値全体が変わります。Windows なら、何もインストールせずに計算できます。

ダウンロード先のフォルダーで PowerShell を開きます (エクスプローラーのアドレス バーに powershell と入力して Enter キーを押します):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

フォルダーに w0a のファイルが複数ある場合は、ファイルごとに 1 行ずつ表示されます。これから実行するファイルの行を使ってください。

コマンド プロンプトでは、同じことを次のように行います:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

結果を、私たちのダウンロード ページのダウンロード ボタンの下に記載されている SHA-256 と比べてください。1 文字残らず一致する必要があります。大文字か小文字かは関係ありませんが、それ以外の違いはすべて問題になります。

どちらかの確認に失敗した場合

ファイルを削除してください。「試しに」実行してはいけません。誰かから送られたリンクではなく、アドレス バーに w0a.app と入力して開いたサイトから、もう一度ダウンロードしてください。

フィンガープリントがまた一致しない場合は、まず正しいファイルを比べているかを確認してください。ブラウザーが 2 回目のダウンロードを名前の末尾に (1) を付けて保存し、古いファイルをそのまま残していることがあります。

それでも失敗する場合や、私たちのサイト以外の場所からファイルを入手した場合は、どこで入手したかをお知らせください。ほかのサイトにある w0a のコピーについては、ぜひ知りたいと考えています。

私たちの側で行っていること

私たちのサイトのダウンロード ボタンは、次の 2 つの条件を満たさない限りオフになります:

• アドレスが私たち自身のドメイン、または私たち自身の公開 GitHub リポジトリのリリース ページを指していて、それ以外を指していないこと。
• 正しい形式の SHA-256 フィンガープリントが、その隣に公開されていること。

そのため、このページが見知らぬ人のアドレスからのダウンロードを提供することはできず、照合用のフィンガープリントがないダウンロードを提供することもできません。

関連記事

• Windows がダウンロードをブロックした場合
• ウイルス対策ソフトがファイルを削除した
• w0a が収集する情報