Perché Windows mostra un avviso

Cosa succede

Quando avvii l'installer, Windows può mostrare una finestra di SmartScreen che dice di aver protetto il PC e non offre subito il pulsante per proseguire.

SmartScreen valuta i programmi in base alla reputazione dell'editore e del file. Un programma nuovo, distribuito a poche persone e con un editore che Windows non può identificare, non ha ancora una reputazione.

Perché l'installer è autofirmato

L'installer di Drokaris è firmato con un certificato autofirmato: un certificato creato da noi, non rilasciato da un'autorità di certificazione che Windows riconosce. Per questo Windows non può confermare chi ha pubblicato il file e indica l'editore come sconosciuto.

Il rischio è reale. Chiunque può creare un certificato autofirmato con qualsiasi nome, quindi quella firma da sola non prova che il file venga da noi né che nessuno l'abbia modificato. L'avviso fa il suo lavoro: è Windows che non può garantire per questo file.

Quello che lo prova è la firma minisign descritta qui sotto. Scegli «Esegui comunque» solo per un file scaricato dal tuo link personale e verificato.

Come verificare l'installer

Insieme all'installer ricevi un file con lo stesso nome e l'estensione .sig: è la firma minisign dell'installer, fatta con la chiave di Drokaris. È lo stesso tipo di firma che l'app controlla prima di installare un aggiornamento.

La chiave pubblica per verificarla ti arriva insieme al link personale, nella mail: è una sola riga di testo che inizia con RW, già pronta per minisign -P. Nei comandi sostituisci X.Y.Z con la versione e CHIAVE_PUBBLICA con quella riga.

1. Installa minisign, lo strumento di verifica, per esempio con Scoop o Chocolatey, oppure dal sito del progetto: minisign

2. Il file .sig contiene la firma codificata in base64. In PowerShell, nella cartella dei due file, ricava il file di firma che minisign legge:

   $f = "Atlas-Code_X.Y.Z_x64-setup.exe"
   [IO.File]::WriteAllBytes("$PWD\$f.minisig", [Convert]::FromBase64String((Get-Content -Raw "$f.sig").Trim()))

3. Nella stessa finestra verifica l'installer con la chiave pubblica:

   minisign -Vm $f -x "$f.minisig" -P CHIAVE_PUBBLICA

4. Se la firma è valida, minisign lo conferma e mostra il commento fidato: deve riportare il nome esatto del file che stai per installare, con la sua versione. Se minisign segnala un errore, o il nome è diverso, non eseguire l'installer.

Come procedere in 3 passi

1. Ulteriori informazioni

   Nella finestra di SmartScreen seleziona «Ulteriori informazioni»: compaiono il nome del file e l'editore, indicato come sconosciuto.

   Immagine in arrivo

2. Esegui comunque

   Controlla che il nome del file sia quello che hai verificato, poi seleziona «Esegui comunque».

   Immagine in arrivo

3. Installa

   Drokaris si installa per il tuo utente, senza chiedere i privilegi di amministratore.

Cosa NON fare

• Non disattivare SmartScreen: ti protegge anche dagli altri programmi che scarichi.
• Non eseguire un installer di Drokaris arrivato da altre fonti o da un link che non è il tuo.
• Non scegliere «Esegui comunque» se la verifica della firma non è riuscita: cancella il file.