Wie man Bitcoin Core Release Signing Keys verifiziert

Diese Antwort hängt davon ab, dass Sie verwenden Bitcoin Core 0.13.1und heruntergeladen bitcoin-0.13.1-win64.ziphaben. Diese Antwort funktioniert auch mit jeder anderen Bitcoin-Version oder einem Download, bei dem nur der öffentliche Schlüssel des Unterzeichners, die Prüfsummendatei und der Name des Bitcoin-Downloads geändert werden.

Zuerst müssen Sie den öffentlichen Schlüssel des Unterzeichners importieren, in diesem Fall den Schlüssel mit der ID: 0x90C8019E36C2E964, Sie tun dies mit einem --recv-keysBefehlszeilenargument.

gpg2 --keyserver pgp.mit.edu --recv-keys 0x90C8019E36C2E964

Oder Sie können es manuell herunterladen von: http://pgp.mit.edu/pks/lookup?op=get&search=0x90C8019E36C2E964

Als nächstes müssen Sie die Signaturdatei von ihr herunterladen: https://bitcoin.org/bin/bitcoin-core-0.13.1/SHA256SUMS.asc , und speichern Sie sie im selben Ordner, in dem der Bitcoin-Core-Download gespeichert ist. Dann müssen Sie überprüfen, ob die SHA256-Prüfsumme gültig ist.

sha256sum --check SHA256SUMS.asc

Egal, FAILED open or readoder No such file or directoryNachrichten, Sie suchen nach etwas in der Art:

bitcoin-0.13.1-win64.zip: OK

Wenn die Prüfsumme gültig ist, validieren Sie, dass die Signatur gut ist (überprüfen, dass die Prüfsummendatei nicht manipuliert wurde). Dies geschieht durch:

gpg2 --verify SHA256SUMS.asc

Dies sollte ungefähr so ​​​​ausgeben:

gpg: Signature made Thu 27 Oct 2016 08:21:11 PM CEST
gpg:                using RSA key 0x90C8019E36C2E964
gpg: Good signature from "Wladimir J. van der Laan (Bitcoin Core binary release signing key) <laanwj@gmail.com>"

EDIT: Wenn Sie folgende Meldung erhalten:

gpg: WARNING: This key is not certified with a trusted signature!
gpg: There is no indication that the signature belongs to the owner. 
Primary key fingerprint: 01EA 5486 DE18 A882 D4C2 6845 90C8 019E 36C2 E964

Sie haben Vertrauensprobleme, d. h. der öffentliche Schlüssel von Wladimir J. van der Laan ist in gpg nicht als vertrauenswürdiger Schlüssel gekennzeichnet. Sie können es mit einigen einfachen Schritten markieren.

gpg2 --edit-key 0x90C8019E36C2E964 ↵
trust ↵
5 ↵
quit ↵

Sie müssen nicht 5als Vertrauen verwenden, Sie können 1-5 wählen:

1 = I don't know or won't say
2 = I do NOT trust
3 = I trust marginally
4 = I trust fully
5 = I trust ultimately

Ab Bitcoin Core v22.0 hat sich das Signier- und Signaturüberprüfungsverfahren geändert. Siehe „Verifizieren Sie Ihren Download“ auf bitcoincore.org/en/download für die offizielle Dokumentation.

Im Grunde besteht der Unterschied darin, dass Sie anstelle eines einzelnen Unterzeichners jetzt mehrere Unterzeichner haben, aus denen Sie auswählen können. SHA256SUMS hat die Prüfsummen-Hashes der Binärdateien, und dann haben mehrere Schlüsselsignierer SHA256SUMS signiert und ihre Signaturen in SHA256SUMS.asc gespeichert. Um dies zu überprüfen, müssen Sie also alle Signaturen überprüfen, denen Sie vertrauen, und dann die Prüfsumme überprüfen.

So überprüfen Sie v22.0+:

1. Laden Sie einen GPG-Schlüssel von mindestens einem der Bitcoin Core-Entwickler herunter, denen Sie vertrauen (mehrere sind besser). Eine Liste der Schlüssel ist unten aufgeführt:

Finden Sie einen GPG-Fingerabdruck

gpg --keyserver keys.openpgp.org --search-keys <email address or GPG key fingerprint>

Geben Sie an der Eingabeaufforderung die Nummer des Schlüssels ein, den Sie importieren möchten.

Hinweis: keys.opengpg.orgist ein guter Schlüsselserver, aber Sie können auch versuchen pgp.mit.eduoder keyserver.ubuntu.com. Sie können die Schlüsseldatei auch manuell herunterladen, indem Sie in Ihrem Browser direkt zum Schlüsselserver gehen und den Schlüssel mit importieren gpg --import <file>.

2. Laden Sie die SHA256SUMS.asc, SHA256SUMS, und bitcoin-<version>-<architecture>.<tar.gz|zip|exe>von der offiziellen Quelle herunter ( Link zu v22.0 )

3. Überprüfen Sie die signierenden Signaturen

gpg --verify SHA256SUMS.asc SHA256SUMS

Wenn Ihnen Schlüssel fehlen, sehen Sie möglicherweise "Signatur kann nicht überprüft werden: Kein öffentlicher Schlüssel", aber suchen Sie nach "Gute Signatur von ..." für die von Ihnen importierten Schlüssel . Unter Linux können Sie auch 2>&1 | grep "Good signature"an das Ende des obigen Befehls anhängen, um das Rauschen herauszufiltern.

4. Überprüfen Sie den Prüfsummen-Hash in SHA256SUM, der Ihrer Binärdatei entspricht.

Unter Windows können Sie mit der rechten Maustaste auf die Binärdatei > CRC-SHA > SHA-256 klicken, um den Hash anzuzeigen und mit dem zu vergleichen, was Sie in SHA256SUM sehen.

Unter Linux können Sie den folgenden Befehl verwenden:

grep " bitcoin-22.0-x86_64-linux-gnu.tar.gz" SHA256SUMS | sha256sum -c

Das ist es!

List of signers' keys:
0xb10c@gmail.com: 0CCBAAFD76A2ECE2CCD3141DE2FFD5B1D88CA97D
Andrew Chow achow101@gmail.com: 152812300785C96444D3334D17565732E08E5E41
Ben Carman benthecarman@live.com: 0AD83877C1F0CD1EE9BD660AD7CC770B81FD22A8
Antoine Poinsot darosior@protonmail.com: 590B7292695AFFA5B672CBB2E13FC145CD3F4304
Duncan Dean duncangleeddean@gmail.com: 28F5900B1BB5D1A4B6B6D1A9ED357015286A333D
Stephan Oeste stephan@oeste.de: 637DB1E23370F84AFF88CCE03152347D07DA627C
Michael Ford fanquake@gmail.com: CFB16E21C950F67FA95E558F2EEB9F5CC09526C1
Oliver Gugger gugger@gmail.com: 6E01EEC9656903B0542B8F1003DB6322267C373B
Hennadii Stepanov hebasto@gmail.com: D1DBF2C4B96F2DEBF4C16654410108112E7EA81F
Jon Atack jon@atack.com: 82921A4B88FD454B7EB8CE3C796C4109063D4EAF
Wladimir J. van der Laan laanwj@gmail.com: 9DEAE0DC7063249FB05474681E4AED62986CD25D
unknown: 9D3CC86A72F8494342EA5FD10A41BDC3F4FAFF1C
Will Clark will8clark@gmail.com: 74E2DEF5D77260B98BC19438099BAD163C70FBFA

Um die erstellte/heruntergeladene Datei zu überprüfen, besuchen Sie die Bitcoin-Core-Website: https://bitcoincore.org/en/download/ .

Sie haben eine Schritt-für-Schritt-Anleitung für jede Plattform unter „ Überprüfen Sie Ihren Download “ .