Mit der Signaturprüfung kannst du feststellen, ob Shift Crypto genau die von dir heruntergeladene BitBoxApp-Installationsdatei signiert hat und ob die Datei seit der Signierung unverändert geblieben ist. Führe die Prüfung durch, bevor du die Datei öffnest, entpackst oder installierst. Erfolgreich ist sie nur, wenn GPG für diese Datei eine gültige Signatur meldet und der vollständige Fingerabdruck des primären Signaturschlüssels mit dem offiziellen Fingerabdruck in diesem Artikel übereinstimmt.

Prüfmethode wählen

Vorbereitung

Du musst deine BitBox nicht verbinden und keine Wallet-Daten angeben. Für die Signaturprüfung werden niemals Wiederherstellungswörter, ein Wallet-Backup, ein Passwort, eine Passphrase, ein privater Schlüssel, eine PIN oder ein Authentifizierungscode benötigt.

Für die manuelle Prüfung benötigst du:

• die BitBoxApp-Installationsdatei für dein Betriebssystem,
• die dazugehörige .asc-Signaturdatei aus demselben Release,
• die Datei mit dem öffentlichen Signaturschlüssel von Shift Crypto und
• GnuPG, das den Befehl gpg bereitstellt.

1. Öffne die offizielle Release-Seite der BitBoxApp auf GitHub (Englisch).
2. Öffne das Release, dessen Version mit der Version im Namen deiner heruntergeladenen BitBoxApp-Datei übereinstimmt.
3. Lade die Installationsdatei für dein Betriebssystem herunter. Wähle nicht die von GitHub automatisch erzeugten Archive Source code (zip) oder Source code (tar.gz).
4. Lade die .asc-Datei mit genau demselben Basisdateinamen herunter.
5. Lade die Datei mit dem öffentlichen Signaturschlüssel von Shift Crypto herunter.
6. Lege alle drei Dateien unverändert im selben Ordner ab.

Überprüfe genau die Datei, die du anschließend installieren möchtest. Prüfe nicht eine Kopie und installiere danach eine andere Datei aus einem anderen Ordner oder von einer anderen Quelle.

GPG installieren oder aufrufen

Folge der Anleitung für das Gerät, auf dem du die Signaturprüfung durchführen möchtest.

Windows

1. Lade Gpg4win von der offiziellen Gpg4win-Website herunter.
2. Installiere Gpg4win.
3. Öffne die Eingabeaufforderung oder PowerShell.
4. Führe gpg --version aus.

Fahre fort, sobald die installierte GPG-Version angezeigt wird.

macOS

Wenn Homebrew bereits installiert ist:

1. Öffne das Terminal.
2. Führe brew install gnupg aus.
3. Führe gpg --version aus.

Wenn du Homebrew nicht verwendest:

1. Öffne die offizielle Download-Seite von GnuPG (Englisch).
2. Wähle dort eines der aufgeführten Installationsprogramme für macOS.
3. Folge den Anweisungen des Installationsprogramms.
4. Öffne das Terminal.
5. Führe gpg --version aus.

Fahre fort, sobald die installierte GPG-Version angezeigt wird.

Linux

1. Öffne ein Terminal.
2. Führe gpg --version aus.

Wird die installierte GPG-Version angezeigt, kannst du mit dem nächsten Abschnitt fortfahren. Ist der Befehl nicht verfügbar, verwende den passenden Befehl für deine Distribution:

• Debian, Ubuntu oder Linux Mint: sudo apt install gnupg
• Fedora: sudo dnf install gnupg2

Verwendest du eine andere Distribution, installiere GnuPG über deren offizielle Paketverwaltung. Führe danach erneut gpg --version aus.

Android

Am einfachsten überprüfst du die APK auf einem Windows-, macOS- oder Linux-Computer. Lade die APK und die dazugehörige .apk.asc-Datei herunter und folge dann der Anleitung für das Betriebssystem des Computers. Du überprüfst dabei nur die APK-Datei; sie muss auf dem Computer nicht installiert werden.

Alternativ kannst du die APK direkt auf einem Android-Gerät mit Termux überprüfen. Dieser Weg ist anspruchsvoller und setzt Android 7 oder neuer voraus. Weicht ein Befehl oder Speicherpfad auf deinem Gerät von der Anleitung ab, führe die Prüfung stattdessen auf einem Windows-, macOS- oder Linux-Computer durch.

1. Speichere die APK im Android-Ordner Downloads.
2. Speichere die dazugehörige .apk.asc-Datei im selben Ordner.
3. Speichere die Datei mit dem öffentlichen Signaturschlüssel von Shift Crypto ebenfalls dort.
4. Installiere Termux über F-Droid (Englisch).
5. Öffne Termux.
6. Führe termux-setup-storage aus.
7. Erlaube den Dateizugriff, wenn Android danach fragt.
8. Führe pkg update -y aus.
9. Führe pkg install gnupg -y aus.
10. Führe cd ~/storage/downloads aus.
11. Führe gpg --version aus.

Fahre fort, sobald Termux die installierte GPG-Version anzeigt. Kann Termux nicht auf den Download-Ordner zugreifen, führe die Prüfung stattdessen auf einem Computer durch.

Signaturschlüssel von Shift Crypto überprüfen

Prüfe den öffentlichen Schlüssel, bevor du ihn importierst:

1. Gib gpg --show-keys --fingerprint gefolgt von einem Leerzeichen ein. Drücke noch nicht Enter.
2. Füge den Pfad zur Datei shiftcryptosec-509249B068D215AE.gpg.asc ein.
3. Drücke Enter.
4. Kontrolliere, ob der primäre Schlüssel als ShiftCrypto Security <security@shiftcrypto.ch> bezeichnet wird.
5. Vergleiche den vollständigen Fingerabdruck des primären Schlüssels mit dem folgenden Wert.

DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

Überprüften Signaturschlüssel importieren

1. Gib gpg --import gefolgt von einem Leerzeichen ein. Drücke noch nicht Enter.
2. Füge den Pfad zur Datei shiftcryptosec-509249B068D215AE.gpg.asc ein.
3. Drücke Enter.

GPG sollte melden, dass der öffentliche Schlüssel von ShiftCrypto Security importiert wurde oder bereits vorhanden ist.

Heruntergeladene BitBoxApp-Datei überprüfen

1. Gib gpg --verify gefolgt von einem Leerzeichen ein. Drücke noch nicht Enter.
2. Füge den Pfad zur dazugehörigen .asc-Signaturdatei ein.
3. Gib ein Leerzeichen ein.
4. Füge den Pfad zur BitBoxApp-Installationsdatei ein.
5. Drücke Enter.

Der vollständige Befehl folgt diesem Muster:

gpg --verify "PFAD-ZUR-SIGNATURDATEI.asc" "PFAD-ZUR-INSTALLATIONSDATEI"

Behalte diese Reihenfolge bei: zuerst die .asc-Signatur, danach genau die Installationsdatei, die du verwenden möchtest.

Ergebnis prüfen

Bei einer erfolgreichen Prüfung meldet GPG eine gültige Signatur der Identität ShiftCrypto Security. Die umgebende Formulierung und die angezeigte Vertrauensstufe können je nach GnuPG-Version und Sprache abweichen.

gpg: Good signature from "ShiftCrypto Security <security@shiftcrypto.ch>"

Kontrolliere außerdem erneut, ob der für die Prüfung verwendete Signaturschlüssel diesen vollständigen primären Fingerabdruck hat:

DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

Zeigt die Ausgabe nicht den vollständigen Fingerabdruck, führe den folgenden Befehl aus und vergleiche ihn erneut:

gpg --fingerprint DD09E41309750EBFAE0DEF63509249B068D215AE

GPG kann darauf hinweisen, dass der Schlüssel nicht durch eine vertrauenswürdige Signatur beglaubigt ist. Diese Meldung bezieht sich auf die lokale Vertrauensdatenbank von GPG. Sie macht eine gültige kryptografische Signatur nicht ungültig, ersetzt aber auch nicht den Vergleich des vollständigen Fingerabdrucks.

Die folgenden historischen Screenshots zeigen, wo die Meldung zur gültigen Signatur und der primäre Fingerabdruck erscheinen. Nutze sie ausschließlich zur visuellen Orientierung: Die abgebildeten BitBoxApp-Versionen, Dateinamen und Befehle sind veraltet.

Wenn die Prüfung nicht erfolgreich ist

Wenn GPG eine Datei nicht findet oder öffnen kann

Meldungen wie No such file, cannot open, no signed data oder missing data file weisen in der Regel auf einen falschen Dateinamen oder Dateipfad hin. Kontrolliere, ob beide zusammengehörigen Dateien vorhanden sind, füge beide Pfade in den Befehl mit zwei Dateien ein und führe ihn erneut aus. Wegen eines Pfadfehlers musst du keine Datei löschen.

Wenn GPG „No public key“ meldet

Kehre zum Abschnitt Signaturschlüssel von Shift Crypto überprüfen zurück. Vergleiche den vollständigen Fingerabdruck, importiere den geprüften Schlüssel erst nach einer Übereinstimmung und wiederhole danach die Signaturprüfung.

Wenn GPG „BAD signature“ meldet

Öffne, entpacke, installiere oder starte die Installationsdatei nicht.

1. Lösche die Installationsdatei.
2. Lösche die dazugehörige .asc-Signaturdatei.
3. Öffne die offizielle Release-Seite der BitBoxApp selbst erneut.
4. Lade die Installationsdatei erneut herunter.
5. Lade die passende .asc-Datei erneut herunter.
6. Wiederhole die Signaturprüfung.

Einen Signaturschlüssel, dessen vollständigen Fingerabdruck du bereits erfolgreich verglichen hast, musst du nicht löschen.

Wenn der primäre Fingerabdruck abweicht

Importiere oder vertraue dem Schlüssel nicht. Verwende die Installationsdatei erst, wenn die Prüfung später mit dem erwarteten Schlüssel erfolgreich abgeschlossen wurde.

1. Lösche die heruntergeladene Datei mit dem öffentlichen Schlüssel.
2. Öffne den offiziellen Link zum Shift-Crypto-Signaturschlüssel und die offizielle Release-Seite der BitBoxApp selbst erneut.
3. Lade die Datei mit dem öffentlichen Schlüssel erneut herunter.
4. Prüfe die neue Schlüsseldatei.
5. Vergleiche den vollständigen primären Fingerabdruck erneut.

Weicht der Fingerabdruck weiterhin ab oder meldet GPG eine gültige Signatur mit einem anderen Schlüssel, fahre nicht fort und kontaktiere den BitBox Support.

Wenn die Prüfung weiterhin fehlschlägt

Kontaktiere den BitBox Support, bevor du die Datei öffnest oder installierst. Nenne dein Betriebssystem, deine GnuPG-Version, die genauen Namen der Installations- und Signaturdatei, die Downloadquelle, den angezeigten primären Fingerabdruck und die vollständige GPG-Ausgabe.

Sende niemals Wiederherstellungswörter, ein Wallet-Backup, ein Passwort, eine Passphrase, einen privaten Schlüssel, eine PIN oder einen Authentifizierungscode.

Alternative: Signatur mit KI-Unterstützung überprüfen

Verwende diese Alternative nur mit einem KI-Modell, das die vollständige hochgeladene Datei verarbeiten, auf das Internet zugreifen und GPG-Befehle ausführen kann. BitBoxApp-Installationsdateien können größer als 200 MB sein. Ob die Prüfung möglich ist, hängt deshalb vom gewählten Dienst und Modell ab. Die Methode ist einfacher als die manuelle Eingabe der Befehle, bietet aber weniger Sicherheit als eine lokale Prüfung.

1. Lade genau die ungeöffnete BitBoxApp-Installationsdatei hoch, die du überprüfen möchtest.
2. Ersetze [VERSION] in der folgenden Anfrage durch die Version aus dem Dateinamen.
3. Sende die Anfrage.

Angehängt ist eine heruntergeladene Datei der BitBoxApp.

Öffne die GitHub-Release-Seite für Version [VERSION], rufe den Schlüssel und die Signatur ab und überprüfe damit die hochgeladene Datei.

Akzeptiere das Ergebnis nur, wenn es:

• den genauen Namen der hochgeladenen Datei und das dazugehörige BitBoxApp-Release nennt,
• den Namen der passenden .asc-Signaturdatei nennt,
• den ausgeführten GPG-Befehl und das relevante Ergebnis zeigt,
• eine gültige Signatur von ShiftCrypto Security <security@shiftcrypto.ch> meldet und
• diesen vollständigen Fingerabdruck des primären Schlüssels anzeigt:

DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE

Das Beispiel meldet zusätzlich eine übereinstimmende SHA-256-Prüfsumme und erklärt, dass die offizielle Schlüssel-URL in seiner Umgebung nicht erreichbar war. Weder eine Prüfsumme noch eine alternative Quelle für den Schlüssel ersetzen die gültige Signatur und den unabhängigen Vergleich des vollständigen Fingerabdrucks mit dem auf der offiziellen Release-Seite veröffentlichten Wert.

Meldet das Modell eine ungültige Signatur, einen abweichenden oder unvollständigen Fingerabdruck, den falschen Dateinamen oder das falsche Release, öffne, entpacke, installiere oder starte die Datei nicht. Fahre auch nicht fort, wenn das Modell die vollständige Datei nicht verarbeiten kann. Verwende stattdessen die manuelle Methode oder kontaktiere den BitBox Support.