Lo primero que debemos hacer, para verificar software desde un interfaz gráfico, es instalar la aplicación de GPG Suite. Hace la misma función que en terminal pero de forma mas sencilla. Permite importar claves públicas de los desarrolladores y verificar el software que firman.

Una vez instalada, veremos que se abre una ventana tal como así:

GPG Keychain

En la parte superior de la app, podemos ver 3 opciones:

Import: Desde aquí podemos importar archivos que contengan la clave pública del usuario que estamos buscando

Export: Nos da la opción de exportar una o varias claves que hayamos importado.

Lookup key: Nos permite buscar una clave pública con el fingerprint o email del usuario que buscamos.

Hay otra forma de importar un clave, consiste en copiar el texto completo de la clave del usuario. A continuación, de la aplicación emergerá una ventana para pedirte permiso para incluir esa clave en la base de datos.

En estos ejemplos hemos visto cómo agregar la clave de cualquier usuarios bajo diversos métodos: vía archivo, copia de clave, fingerprint o email. Tras agregar estas claves se vería tal como así en nuestra aplicación:

Si habéis confirmado con el usuario (o por sus medios oficiales) que tal clave es suya, podemos confiar en que le pertenece. Para ello hacemos click con el botón derecho sobre la clave y elegimos la opción "details". Después en la ventana que aparece, vamos a Ownerstrust y elegimos la opción de "Ultimate". A continuación vas a ver que la validez de la clave se pone de color verde.

Una vez que sabemos cómo importar claves y verificarlas, vamos a ver dos ejemplos de cómo verificar software. Uno es Sparrow Wallet y el otro, Liana Wallet.

Sparrow wallet

Accede a sparrowwallet.com y ve a la parte de Downloads. Desde ahí descarga la opción que corresponda al modelo de tu MacOS. Si es actual, será la versión M1/M2 y si es un modelo mas antiguo, la versión será Intel. Por último, descarga los dos archivos que ves mas abajo, uno terminado en .txt y otro terminado en txt.asc.

Pagina Web de Sparrow Wallet

Como nota importante, es fundamental que los 3 archivos que descargues se guarden en la misma carpeta. Para asegurarse de ello, siempre guarda los archivos en la carpeta “Descargas”.

Una vez hecho, en la misma página, vamos a incluir la clave del dev, Craig Raw.

Que opciones tenemos:

Con su email: craigraw@sparrowwallet.com en la opcion de lookup key

Con su fingerprint: E946 1833 4C67 4B40

Con el archivo que puedes encontrar en Keybase.

Puedes ver el enlace en la pagina de Descargas de la web de Sparrow

Una vez agregado la clave pública lo veremos así:

Después de verificar en otros medios que pertenece a Craig Raw, hago click sobre el botón derecho y voy a details > ownertrusted > ultimate. De esta manera marco la clave como confiable (aparece en verde).

¿Qué hacer ahora para verificar que el software que hemos descargado antes ha sido firmado por Craig Raw?

Anteriormente descargamos tres archivos: sparrow-2.1.3-manifest.txt (el hash del ejecutable), sparrow-2.1.3-manifest.txt.asc (la firma del hash del ejecutable realizada por Craig Raw) y el ejecutable (*.dmg). Para verificar es necesario que los dos primeros archivos mencionados estén en la misma carpeta.

Hacemos click con el botón derecho sobre el archivo que termina en txt.asc y vamos a Services > OpenPGP: Verify signature of file.

Por último, y si todo ha ido bien, veremos el siguiente mensaje:

Ahora puedes instalar la aplicación haciendo click en el archivo .dmg y arrastrarlo a la carpeta Aplicaciones, tal como puedes ver en la foto de abajo.

Una vez completados todos estos pasos, podrás estar seguro de la integridad de tu descarga y podrás proceder a la instalación.

Liana Wallet

Accede a su pagina web: https://wizardsardine.com/liana/ y pulsa en "Download Liana".

En el recuadro de MacOS y haz click para acceder a su repositorio de Github para descargar los archivos necesarios para instalar y verificar el software de Liana.

Una vez en la pagina hasta que veas la pestaña "Assets" y descarga los 3 archivos que ves en la imagen de abajo.

Clave PGP de Edouard Paris

Si no tienes la clave de Edouard, puedes descargarla en este link https://edouard.paris/keys/5B63F3B97699C7EEF3B040B19B7F629A53E77B83.asc

Selecciona el texto y elige la opción "import key from selection"

Como vimos antes, habíamos descargado 3 archivos, uno será el ejecutable (según el modelo de MacOS), otro terminado en .txt, el cual guarda la lista de hashes sha256 sobre los diferentes ejecutables. Y el otro es .asc, que es el archivo con la firma que ha hecho el desarrollador sobre el archivo .txt que contiene los hashes.

Como hicimos antes con Sparrow wallet verificamos el software que vamos a instalar haciendo click con el botón derecho sobre el archivo .asc y...

Ahí puedes ver que el ejecutable fue firmado por el desarrollador. Compara y verifica el fingerprint y email asociado a Edouard Paris.

Ya puedes instalar Liana sin problemas. Solo tienes que descomprimir el archivo liana-9.0-x86_64-apple-darwin.tar.gz y hacer doble click en "Liana-gui"

Que disfrutes testeando Liana.