Проверка установщика: SHA-256 и цифровая подпись

Зеркал много, пересобранных установщиков тоже хватает. Тридцать секунд на подсчёт хеша дешевле, чем вечер на чистку системы.

Считаем SHA-256

Ставить ничего не нужно, в Windows есть две команды. В CMD:

certutil -hashfile "C:\Users\имя\Downloads\Clash.for.Windows.Setup.exe" SHA256

В PowerShell:

Get-FileHash -Algorithm SHA256 "C:\Users\имя\Downloads\Clash.for.Windows.Setup.exe"

На выходе 64 шестнадцатеричных символа. Регистр значения не имеет, сравнивайте сами символы.

С чьим значением сравнивать

Хеш имеет смысл только рядом со значением, опубликованным издателем. Если ссылка на загрузку и контрольная сумма лежат на одной и той же странице, защита близка к нулю: кто подменил файл, тот подменит и строчку над ним. Что работает:

• Взять хеш с официального канала загрузки программы (страница релиза или объявление разработчика), скачать файл с зеркала и сравнить.
• Скачать одну и ту же версию с двух независимых зеркал и сверить копии между собой. Совпадение делает подмену на одном зеркале маловероятной.
• Если на странице нет ни хеша, ни размера файла, ищите другую.

Подпись и SmartScreen

Правый клик по установщику, «Свойства», ищем вкладку «Цифровые подписи». Если она есть, откройте и посмотрите на подписавшего и на строку о том, что подпись действительна. Вкладки нет - значит пакет не подписан. Ранние сборки CFW подписи не имели вовсе, поэтому её отсутствие само по себе ещё не признак подмены. Но тогда хеш - единственное, на что можно опереться.

Окно SmartScreen «Система Windows защитила ваш компьютер» появляется потому, что файл редко скачивают и у него нет доверенной подписи. К вирусам это отношения не имеет. Если хеш сошёлся, жмите «Подробнее», затем «Выполнить в любом случае». Срабатывания антивируса - отдельная тема, см. Конфликты с антивирусом и брандмауэром.