Verifica le app
Ogni app di ProactiveProject è firmata con una chiave che ha solo chi l'ha fatta. Qui sotto trovi le impronte delle firme: servono a controllare che l'app che hai scaricato venga davvero da qui e non sia stata modificata da qualcun altro.
Cos'è un'impronta, in due righe
Un'impronta è una lunga fila di numeri e lettere ricavata da un file o da una firma. Se cambia anche una sola lettera del file, l'impronta cambia completamente. Confrontarla è come controllare il numero di serie di un oggetto: non serve fidarsi, basta guardare se coincide.
Ci sono due impronte diverse:
- l'impronta della firma (del "certificato"): è sempre la stessa per tutte le versioni di un'app. Dice chi ha fatto l'app;
- l'impronta del file: cambia a ogni versione. Dice che quel file è proprio quello pubblicato. La trovi accanto a ogni app nella pagina delle app.
Chiavi e password non sono mai pubblicate da nessuna parte: l'impronta permette di riconoscere una firma, non di imitarla.
Le impronte delle firme (SHA-256)
La stessa impronta è scritta in due modi: alcuni programmi la mostrano tutta attaccata, altri a coppie separate da due punti.
| App | Impronta della firma |
|---|---|
| Agenda di Casa tutte e due le versioni | 91e2db95f734c9e043011e3aeee9660230bb95712538db227a2b51ef04400af591:E2:DB:95:F7:34:C9:E0:43:01:1E:3A:EE:E9:66:02:30:BB:95:71:25:38:DB:22:7A:2B:51:EF:04:40:0A:F5 |
| Straordinari | b847d9c61c9207cb4cd73346d30ef794675fa8c2ca2c01023262b35cf20d2724B8:47:D9:C6:1C:92:07:CB:4C:D7:33:46:D3:0E:F7:94:67:5F:A8:C2:CA:2C:01:02:32:62:B3:5C:F2:0D:27:24 |
Il nome di chi firma, dentro ogni app, è CN=proactiveproject.
Dal telefono
Esistono app libere che mostrano l'impronta della firma di un'app installata, per esempio AppVerifier BG (licenza ISC, su F-Droid). Dopo aver installato l'app di ProactiveProject:
- apri AppVerifier e cerca l'app nell'elenco;
- confronta l'impronta che compare con quella della tabella qui sopra (bastano le prime e le ultime 8 lettere, ma meglio tutta).
Se coincide, l'app viene da qui. Se non coincide, disinstallala e scrivici.
Dal computer (prima di installare)
Su Ubuntu e Debian, nel terminale. Lo strumento apksigner è quello ufficiale di Android:
sudo apt install apksigner
apksigner verify --print-certs NOME-DEL-FILE.apkNella riga certificate DN deve comparire CN=proactiveproject, e nella riga certificate SHA-256 digest l'impronta della tabella.
Per l'impronta del file:
sha256sum NOME-DEL-FILE.apkDeve coincidere con quella accanto all'app nella pagina delle app.
Perché conta anche per gli aggiornamenti
Android accetta l'aggiornamento di un'app solo se è firmato con la stessa chiave della versione installata. Quindi, una volta installata un'app di ProactiveProject, nessun altro può "aggiornarla" con una versione modificata: il telefono la rifiuterebbe.
Se un giorno una chiave dovesse cambiare, lo scriveremo qui e nella guida dell'app, spiegando come passare alla nuova versione senza perdere i dati.