Perché Windows mostra un avviso

Cosa succede

Quando avvii l'installer, Windows può mostrare una finestra di SmartScreen che dice di aver protetto il PC e non offre subito il pulsante per proseguire.

SmartScreen valuta i programmi in base alla reputazione dell'editore e del file. Un programma nuovo, distribuito a poche persone e con un editore che Windows non può identificare, non ha ancora una reputazione.

Perché l'installer è autofirmato

L'installer di NavuTron è firmato con un certificato autofirmato: un certificato creato da noi, non rilasciato da un'autorità di certificazione che Windows riconosce. Per questo Windows non può confermare chi ha pubblicato il file e indica l'editore come sconosciuto.

Il rischio è reale. Chiunque può creare un certificato autofirmato con qualsiasi nome, quindi quella firma da sola non prova che il file venga da noi né che nessuno l'abbia modificato. L'avviso fa il suo lavoro: è Windows che non può garantire per questo file.

Quello che lo prova è la firma minisign descritta qui sotto. Scegli «Esegui comunque» solo per un file scaricato dal tuo link personale e verificato.

Come verificare l'installer

Insieme all'installer ricevi un file con lo stesso nome e l'estensione .sig: è la firma minisign dell'installer, fatta con la chiave di NavuTron. È lo stesso tipo di firma che l'app controlla prima di installare un aggiornamento.

La chiave pubblica per verificarla ti arriva insieme al link personale, nella mail: è una sola riga di testo che inizia con RW, già pronta per minisign -P. Nei comandi sostituisci X.Y.Z con la versione e CHIAVE_PUBBLICA con quella riga.

1. Installa minisign, lo strumento di verifica, per esempio con Scoop o Chocolatey, oppure dal sito del progetto: minisign

2. Il file .sig contiene la firma codificata in base64. In PowerShell, nella cartella dei due file, ricava il file di firma che minisign legge:

   $f = "Drokaris_X.Y.Z_x64-setup.exe"
   [IO.File]::WriteAllBytes("$PWD\$f.minisig", [Convert]::FromBase64String((Get-Content -Raw "$f.sig").Trim()))

3. Nella stessa finestra verifica l'installer con la chiave pubblica:

   minisign -Vm $f -x "$f.minisig" -P CHIAVE_PUBBLICA

4. Se la firma è valida, minisign lo conferma e mostra il commento fidato: deve riportare il nome esatto del file che stai per installare, con la sua versione. Se minisign segnala un errore, o il nome è diverso, non eseguire l'installer.

Certificato della firma (facoltativo) Scarica il certificato (.cer)

Per controllare la firma dell'installer: apri le Proprietà del file scaricato, poi Firme digitali, Dettagli, Visualizza certificato, e confronta l'impronta con quella qui sotto. Non serve installare il certificato.

Identificazione personale (SHA-1)

62 37 CD 6A 21 D0 4C 13 48 E4 6E 44 50 77 AB 28 8E 34 71 05

SHA-256

6C 2D 40 8A 46 DF D8 96 89 C7 85 A8 5B B7 D2 AA 18 2B 94 A2 82 AD 57 F7 AA E3 0C 5D D5 DC 44 4B

Come procedere in 3 passi

1. Ulteriori informazioni

   Nella finestra di SmartScreen seleziona «Ulteriori informazioni»: compaiono il nome del file e l'editore, indicato come sconosciuto.

   Immagine in arrivo

2. Esegui comunque

   Controlla che il nome del file sia quello che hai verificato, poi seleziona «Esegui comunque».

   Immagine in arrivo

3. Installa

   NavuTron si installa per il tuo utente, senza chiedere i privilegi di amministratore.

Cosa NON fare

• Non disattivare SmartScreen: ti protegge anche dagli altri programmi che scarichi.
• Non eseguire un installer di NavuTron arrivato da altre fonti o da un link che non è il tuo.
• Non scegliere «Esegui comunque» se la verifica della firma non è riuscita: cancella il file.