So prüfst Du die Integrität unserer eigenen (alternativen) Installer-Setups

Integrität und Herkunft des Installers prüfen

Die folgenden Prüfmethoden gelten ausschließlich für unsere eigenen Installer!

Diese werden mit install4j erstellt und digital signiert, damit Dritte sie nicht verändern können.

Damit Du sicher bist, dass die heruntergeladene Software echt ist und nicht manipuliert wurde, empfehlen wir, die digitale Signatur zu prüfen.

Eine digitale Signatur bestätigt, wer die Software herausgegeben hat, und dass die Datei unverändert ist.

Hinweis zum Hosting

Bitte beachte, dass unsere Installer-Dateien gehostet und verlinkt sind via mega.nz. So machen wir das seit vielen Jahren.

Achte vor dem Download immer darauf, dass Du von unserer offiziellen Website zum richtigen Repository weitergeleitet wirst.

Prüfung mit VirusTotal

Die Signatur von Windows-Installern (.exe) und macOS-Installern (.dmg, .pkg) kannst Du ohne zusätzliche Software prüfen:

1. Datei hochladen: Geh zu www.virustotal.com und lade den Installer hoch.

2. Reiter Details öffnen: Wenn der Scan fertig ist, klicke oben auf der Ergebnisseite auf den Reiter "Details".

3. Bereich „Signature Info“ prüfen: Scrolle nach unten bis zum Abschnitt "Signature Info" (bei Windows) oder "File Signature" (bei macOS).

Darauf musst Du achten

• Geprüfter Status: Dort sollte ein Status wie "Signed" or "Valid".

• Signers/Authority: Sieh in das Feld "Signers". Dort muss der Name unserer Organisation stehen: AppWork GmbH.

Wichtig: Wenn VirusTotal die Datei als "Unsigned" meldet oder der Name des Signierers nicht zu unserer Organisation passt, starte den Installer nicht and kontaktiere unser Support-Team sofort.

Geprüfte Signierer

Die Signatur muss unsere Organisation klar ausweisen. Je nach Version der Software kann das Zertifikat abweichen.

Vergleiche Signierer und Fingerabdruck mit der folgenden Liste:

Hinweis: Die Liste enthält die gebräuchlichsten Zertifikate unserer Installer. Wir halten sie so vollständig wie möglich. Vollständig ist sie nicht, vor allem nicht bei älteren Versionen oder historischen Zertifikaten.

Windows (.exe)

macOS (.dmg, .pkg)

Alternative: Lokal prüfen

Wenn Du die Datei nicht hochladen möchtest, kannst Du die Signatur auch direkt auf dem Computer prüfen:

• Unter Windows

  Unter Windows kannst Du die digitale Signatur lokal über die Oberfläche oder die Kommandozeile prüfen:

  Methode 1: Windows PowerShell (empfohlen, wenn Du die Details sehen willst)

  1. Öffne PowerShell.

  2. Führe den folgenden Befehl aus (ersetze path\to\installer.exe durch den tatsächlichen Pfad der heruntergeladenen Datei):

     PowerShell

      

     Get-AuthenticodeSignature "path\to\installer.exe" | Format-List
     
     

  3. Sieh Dir die Ausgabefelder an:

     • Status: muss Valid lauten.

     • SignerCertificate: muss den Namen unserer Organisation enthalten (zum Beispiel CN=[Appwork GmbH]), dazu Serial Number und Thumbprint. Die Werte kannst Du mit der Tabelle „Geprüfte Signierer“ weiter oben vergleichen.

  Methode 2: Dateieigenschaften Rechtsklick auf die .exe-Datei → Eigenschaften → Reiter Digitale Signaturen. Wähle den Signatur-Eintrag in der Liste und klicke auf Details, um Aussteller und Status des Zertifikats zu sehen.

• Unter macOS

  Der macOS-Finder zeigt die Signaturdetails nicht im Kontextmenü. Im Terminal siehst Du die ganze Zertifikatskette, inklusive Organisationsname und Fingerabdrücken:

  Methode 1: Terminal (detaillierte Ansicht)

  1. Öffne Terminal.

  2. Tippe den folgenden Befehl für die allgemeine Prüfung (am Ende ein Leerzeichen lassen):

     Bash

      

     spctl -a -vv -t install 
     
     

  3. Ziehe die .dmg-Datei in das Terminal-Fenster und drücke Enter. Die Ausgabe sollte accepted enthalten und unsere Quelle und Herkunft anzeigen.

  Methode 2: Einfache Prüfung

  1. Öffne Terminal.

  2. Tippe codesign -dv --verbose=4 (mit einem Leerzeichen am Ende), ziehe die .dmg-Datei in das Fenster und drücke Enter.

  3. In den Zeilen Authority muss der Name des Herausgebers stehen.

Prüfung von Linux-Shell-Skripten und JDownloader.jar

Unsere Linux-Installer (.sh) und das allgemeine Java-Archiv (JDownloader.jar) sind mit GPG (GNU Privacy Guard) signiert. Zu jeder Veröffentlichung gibt es eine getrennte Signaturdatei (.asc). Damit prüfst Du, dass die Dateien echt sind und nicht verändert wurden.

Die Daten unseres öffentlichen Schlüssels sind:

• Schlüssel-URL: https://installer.jdownloader.org/jd_release_signing_key.asc

• Schlüssel-Hash / Fingerabdruck: 2B80 5711 032D 5A5C B500 74C5 10C6 265C EFB6 457E

Die Dateien kannst Du mit einer der folgenden Methoden prüfen:

Methode 1: Schlüssel automatisch holen (empfohlen) Wenn Deine GPG-Umgebung einen Keyserver erreicht, holt sie unseren öffentlichen Schlüssel anhand der Key-ID aus der Signaturdatei:

1. Öffne das Terminal.

2. Führe den Prüfbefehl mit der Signaturdatei und dem Installer aus:

   Bash

    

   gpg --keyserver hkps://keys.openpgp.org --recv-keys 2B805711032D5A5CB50074C510C6265CEFB6457E
   
   gpg --verify path/to/installer.sh.asc path/to/installer.sh
   
   

3. Achte auf diese Meldung: Good signature from "JDownloader Release Signing Key".

Methode 2: Schlüssel von Hand importieren Wenn Du unseren öffentlichen Schlüssel direkt von unserer Infrastruktur laden möchtest:

1. Lade unseren öffentlichen Schlüssel herunter und importiere ihn:

   curl -s https://installer.jdownloader.org/jd_release_signing_key.asc | gpg --import

2. Prüfe die heruntergeladene Datei gegen ihre Signatur:

   gpg --verify path/to/JDownloader.jar.asc path/to/JDownloader.jar

3. Prüfe die Ausgabe:

   • Ergebnis: Dort muss ausdrücklich Good signature stehen.

   • Fingerprint: Der angezeigte Fingerabdruck muss genau so lauten: 2B80 5711 032D 5A5C B500 74C5 10C6 265C EFB6 457E.