Verificar la firma digital de la BitBoxApp es una medida de seguridad avanzada que confirma su autenticidad.
En macOS, nuestra aplicación está notarizada por Apple. Esto significa que macOS verifica automáticamente la firma la primera vez que abres la BitBoxApp. Si la aplicación hubiera sido manipulada, macOS mostraría una advertencia explícita. Por esta razón, la verificación manual generalmente no es necesaria, a menos que desees realizar una comprobación independiente.
Ten en cuenta que la advertencia general que se muestra a continuación es normal y aparece cada vez que abres por primera vez cualquier aplicación descargada de internet. Puedes continuar usando la BitBoxApp de forma segura si ves este mensaje:
.jpeg)
Requisitos
Necesitas tener GPG (GNU Privacy Guard) instalado.
-
Homebrew: Si tienes Homebrew, abre el Terminal y ejecuta
brew install gpg. - Descarga directa: Alternativamente, descarga e instala GPG Suite desde: https://gpgtools.org/
Para confirmar la instalación, ejecuta gpg --version en una ventana del Terminal.
Paso 1: Descarga los archivos necesarios
Ve a la página oficial de lanzamientos de la BitBoxApp en GitHub. Descarga tanto el archivo de la aplicación .dmg como su archivo de firma correspondiente .dmg.asc. Guarda ambos en la misma carpeta (por ejemplo, Descargas).
Paso 2: Abre el Terminal
Puedes encontrar la aplicación Terminal a través de la Búsqueda de Spotlight (CMD + Espacio) o en tu carpeta de Aplicaciones. Para mayor comodidad, navega a la carpeta que contiene los archivos descargados usando el comando cd (por ejemplo, cd Descargas).
Paso 3: Importa la clave de firma de BitBox
Para poder verificar nuestra firma, primero necesitas importar nuestra clave pública correspondiente, que puedes descargar en nuestro sitio web. El correo electrónico asociado con la clave es security@shiftcrypto.ch y la huella digital de la clave es DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE.
Para descargar e importar la clave en GPG, ejecuta este comando en la ventana del Terminal:
curl https://bitbox.swiss/download/shiftcryptosec-509249B068D215AE.gpg.asc | gpg --importEsto descargará la clave usando curl y la pasará a gpg para ser importada.
Paso 4: Verifica la firma de la aplicación
Ahora, ejecuta el comando gpg --verify, proporcionando la ruta al archivo .dmg.asc. El nombre del archivo cambiará dependiendo de la versión descargada.
gpg --verify BitBox-4.47.3-macOS.dmg.ascConsejo: Puedes arrastrar y soltar el archivo .asc desde tu ventana del Finder directamente a la ventana del Terminal para pegar automáticamente su ruta completa.
La salida del comando debería contener las siguientes dos cosas:
- El texto
gpg: Buena firma de "ShiftCrypto Security <security@shiftcrypto.ch>". - La huella digital de la clave primaria:
DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE.
Siempre que la firma sea válida, el resultado se verá así:
.jpeg)
Puedes confiar en esta firma si la huella digital de la clave coincide con DD09 E413 0975 0EBF AE0D EF63 5092 49B0 68D2 15AE, que también se muestra en cada lanzamiento en GitHub.
Nota: Es probable que veas una advertencia que dice: "Esta clave no está certificada con una firma de confianza". Esto es normal y simplemente significa que no le has dicho explícitamente a GPG que confíe en nuestra clave.