bitaddress.org scheint ein Versionierungssystem und eine PGP-Signatur zu haben, um zu bestätigen, dass der Quellcode nicht gehackt wurde.
Wenn ich den Quellcode für die Seite speichere (damit ich ihn auf einem Offline-Computer ausführen kann), welche Schritte muss ich unternehmen, um zu überprüfen, ob die heruntergeladene Version mit der Signatur übereinstimmt?
Dies setzt voraus, dass die signierte Version von bitaddress.org nicht bösartig ist, wie in dieser Frage beantwortet .
Wer hat tatsächlich bestätigt, dass der Code überhaupt nicht bösartig ist?
Es gibt viele Augen von Kryptografen, Javascript-Programmierern und mehr. Aber es gibt keine kommerzielle Partei oder Einzelperson, die behauptet, die Seite überprüft zu haben, um sicherzustellen, dass nichts Bösartiges vorliegt.
Was die Überprüfung angeht, dass die Website dieselbe Version wie das Versionskontroll-Repository bereitstellt, kann dies wie folgt überprüft werden:
Stellen Sie sicher, dass die BitAddress.org-Website aktualisiert wurde und denselben HTML-Code aus dem Commit mit der Beschreibung vx.x in github zurückgibt:
Hier ist ein Beispiel für die Überprüfung, in welcher Version v2.4 war:
Überprüfen Sie zuerst den sha1sum-Hash des HTML-Codes, der von einer Anfrage an http://bitaddress.org zurückgegeben wird :
$ wget --quiet -O - http://bitaddress.org|sha1sum
1d5951f6a04dd5a287ac925da4e626870ee58d60 -
$ GET -eSd bitaddress.org|grep -i "200 OK"
GET https://www.bitaddress.org/bitaddress.org-v2.4-SHA1-1d5951f6a04dd5a287ac925da4e626870ee58d60.html --> 200 OK
Dann aus meinem bitaddress.org-Repo:
$ git checkout master
$ git pull
$ git log --pretty=oneline|grep "v2.4"
eeed4db91edd9eda5eb4277a61aa16ad80bdcdcb v2.4 French translations
$ git checkout eeed4db91edd9eda5eb4277a61aa16ad80bdcdcb
$ git rev-list --max-count=1 HEAD
eeed4db91edd9eda5eb4277a61aa16ad80bdcdcb
$ sha1sum bitaddress.org.html
1d5951f6a04dd5a287ac925da4e626870ee58d60 bitaddress.org.html
Solange diese sh1sum mit dem Dateinamen übereinstimmt und auch mit github übereinstimmt, können Sie wissen, dass Sie genau dieselbe Version haben, die von github verteilt wurde.
Sehr unregelmäßig