如何在 Windows 10 中使用 .sig 文件和公钥验证下载文件？

Question

我对从electroncash.org (Electron-Cash-2.9.4.exe) 安装Electron Cash 应用程序很感兴趣，并且该网站表明要确保下载的完整性，我应该验证文件的真实性。

该站点将我指向开发人员 github 页面以获取密钥和哈希值。我已经推断出该链接上的 3 个公钥，使用的可能是一个名为 jonaldkey.txt 的（尽管出于某种原因还有另一个 jonaldkey2.txt），并且有一个 .sig 文件，大概包含哈希。

在 Windows 10 中，如何使用公钥 (jonaldkey.txt) 和哈希值 (Electron-Cash-2.9.4.exe.sig) 来验证我下载的文件 (Electron-Cash-2.9.4.exe)？

Answer 1

有一个Gpg4win应用程序，它处理签名和验证文件。它有它的Compendium，我们在它的第 110 页上读到：

检查签名

现在检查刚刚签名的文件的完整性，即检查它是否正确！要检查完整性和真实性，签名文件（即以 .sig 、 .asc 、 .p7s 或 .pem 结尾的文件）和签名的原始文件（原始文件）必须位于同一文件夹中。选择签名文件并从 Windows 资源管理器上下文菜单中选择条目解密和检查：

显然，您需要使用 shell 扩展来安装它。验证 .SIG 文件的选项位于More GpgEX Options 下。为了验证您的程序，我使用了以下步骤：

• 下载jonaldkey.txt，而不是另一个，以及 Electron-Cash-2.9.4.exe.sig 文件
• 将 jonaldkey.txt 重命名为 jonaldkey.PEM
• 右键单击 .SIG 并选择验证
• 程序说由于未知密钥而无法验证，所以我单击了导入按钮，
• 我被要求创建自己的密钥以验证其他人的公钥，所以我这样做了，不幸的是我被要求接受该公钥的指纹，这在任何地方都不可用
• 之后我在验证过程中选择了新导入的密钥并通过了。

验证校验和（不是签名）

您也可以下载该SHA1.Electron-Cash-2.9.4.exe.txt文件，它是一个文本文件，将其扩展名重命名为 .sha1。我可以使用两个工具来验证校验和。它们是：7zip 和 Ghisler 的 Total Commander。前者添加了一个上下文菜单，允许您显示单击文件的各种校验和，在这种情况下，我们右键单击 .exe 文件（不是 .sig）并使用下载的 SHA1 文本文件验证显示的总和。后者允许您在 *.sha、*.md5、*.sfv 等文件上按 Enter，并将结果显示为 OK 或 FAIL。