Scaricare Tails 4.13

Questa sezione fornisce istruzioni semplificate:

• In Windows con Gpg4win
• In macOS con GPGTools
• In Tails
• Usando la riga di comando

In Windows con Gpg4win

1. Scarica la firma OpenPGP per l'immagine USB di Tails 4.13 firma OpenPGP per l'immagine ISO di Tails 4.13 e salvala nella stessa cartella in cui hai salvato l'immagine.

2. Scarica la chiave di firma di Tails e importala in Gpg4win.

   Vedere la documentazione di Gpg4win sull'importazione di chiavi (in inglese).

3. Verifica la firma dell'immagine che hai scaricato.

   Vedere la documentazione di Gpg4win sulla verifica di firme (in inglese).

   Verifica che la data della firma sia al massimo cinque giorni più vecchia rispetto alla versione più recente: 2020-11-17.

   Se appare l'avvertimento seguente:

       Not enough information to check the signature validity.
       Signed on ... by tails@boum.org (Key ID: 0x58ACD84F)
       The validity of the signature cannot be verified.
       

   Allora l'immagine risulta comunque firmata correttamente dalla chiave che hai scaricato. Per rimuovere questo avvertimento devi autenticare la chiave di firma mediante la rete di fiducia OpenPGP.

In macOS usando GPGTools

1. Scarica la firma OpenPGP per l'immagine USB di Tails 4.13 firma OpenPGP per l'immagine ISO di Tails 4.13 e salvala nella stessa cartella in cui hai salvato l'immagine.

2. Scarica la chiave di firma di Tails e importala in GPGTools.

   Vedere la documentazione di GPGTools sull'importazione di chiavi (in inglese).

3. Apri Finder e naviga fino alla cartella in cui hai salvato l'immagine e la firma.

4. Fai control-clic sull'immagine e seleziona Servizi ▸ OpenPGP: Verify Signature of File.

In Tails

Tails contiene la chiave di firma di Tails già importata.

1. Scarica la firma OpenPGP per l'immagine USB di Tails 4.13 firma OpenPGP per l'immagine ISO di Tails 4.13 e salvala nella stessa cartella in cui hai salvato l'immagine.

2. Apri il navigatore di file e naviga fino alla cartella in cui hai salvato l'immagine e la firma.

3. Fai clic con il tasto destro (su Mac, fai clic con due dita) sulla firma e seleziona Apri con Verifica la firma.

4. La verifica dell'immagine si avvia automaticamente:

   

5. Una volta che la verifica è terminata, dovresti vedere una notifica che comunica che la firma è buona:

   

   

   Verifica che la data della firma sia al massimo cinque giorni più vecchia rispetto alla versione più recente: 2020-11-17.

   Se invece vedi una notifica che comunica che la firma è valida ma non affidabile:

   

   

   Allora l'immagine risulta comunque firmata correttamente dalla chiave che hai scaricato. Per rimuovere questo avvertimento devi autenticare la chiave di firma mediante la rete di fiducia OpenPGP.

Usando la riga di comando

1. Scarica la firma OpenPGP per l'immagine USB di Tails 4.13 firma OpenPGP per l'immagine ISO di Tails 4.13 e salvala nella stessa cartella in cui hai salvato l'immagine.

2. Scarica la chiave di firma di Tails e importala in GnuPGP.

   Per importare la chiave di firma di Tails in GnuPGP, apri un terminale e naviga fino alla cartella in cui hai salvato la chiave di firma di Tails.

   Esegui:

   gpg --import tails-signing.key

3. In un terminale, naviga fino alla cartella in cui hai salvato l'immagine e la firma.

4. Esegui:

   TZ=UTC gpg --no-options --keyid-format long --verify tails-amd64-4.13.img.sig tails-amd64-4.13.img

   TZ=UTC gpg --no-options --keyid-format long --verify tails-amd64-4.13.iso.sig tails-amd64-4.13.iso

   L'output di questo comando dovrebbe essere il seguente:

   gpg: Signature made 2020-11-16T12:22:17 UTC
   gpg:                using RSA key 05469FB85EAD6589B43D41D3D21DAD38AF281C0B
   gpg: Good signature from "Tails developers (offline long-term identity key) <tails@boum.org>" [full]
   gpg:                 aka "Tails developers <tails@boum.org>" [full]
   

   gpg: Signature made 2020-11-16T12:21:58 UTC
   gpg:                using RSA key 05469FB85EAD6589B43D41D3D21DAD38AF281C0B
   gpg: Good signature from "Tails developers (offline long-term identity key) <tails@boum.org>" [full]
   gpg:                 aka "Tails developers <tails@boum.org>" [full]
   

   Verifica che la data della firma sia al massimo cinque giorni più vecchia rispetto alla versione più recente: 2020-11-17.

   Se l'output include anche:

   gpg: WARNING: This key is not certified with a trusted signature!
   gpg: There is no indication that the signature belongs to the owner.
   

   Allora l'immagine risulta comunque firmata correttamente dalla chiave che hai scaricato. Per rimuovere questo avvertimento devi autenticare la chiave di firma mediante la rete di fiducia OpenPGP.

Tutte le tecniche di verifica che proponiamo (estensione per il browser, BitTorrent o verifica OpenPGP) presuppongono che certe informazioni vengano scaricate in maniera sicura via HTTPS dal nostro sito web:

• Il codice di controllo per l'estensione Firefox
• Il file Torrent per BitTorrent
• La chiave di firma di Tails per la verifica OpenPGP

Potrebbe capitarti di scaricare informazioni malevole se il nostro sito web fosse compromesso o se sei vittima di un attacco man-in-the-middle.

La verifica OpenPGP è l'unica tecnica che ti protegge se il nostro sito web fosse compromesso o se sei vittima di un attacco man-in-the-middle. Tuttavia, per utilizzarla devi autenticare la chiave di firma di Tails mediante la rete di fiducia OpenPGP.

Uno dei problemi intrinseci dello standard HTTPS è che la fiducia riposta in un sito web viene definita da autorità certificative: un insieme chiuso e gerarchico di società e istituzioni governative approvate dal fabbricante del tuo browser. Questo modello di fiducia è criticato da tempo e ha mostrato diverse volte di essere vulnerabile a certi attacchi come spiegato nella nostra pagina degli avvertimenti.

Noi riteniamo invece che, quando si tratta di fidarsi di un sito web, dovrebbero essere coloro che lo utilizzano ad avere l'ultima parola, e che la costruzione della fiducia dovrebbe avvenire sulla base di interazioni umane.

La rete di fiducia OpenPGP è un modello di fiducia decentralizzata basato su chiavi OpenPGP che può contribuire a risolvere questo problema. Vediamolo con un esempio:

1. Sei amica di Alice e ti fidi decisamente del suo scrupolo nell'accertarsi che le chiavi OpenPGP appartengano veramente ai loro proprietari.
2. Alice ha conosciuto Bob, uno sviluppatore di Tails, a una conferenza e ha certificato che la chiave di Bob appartiene davvero a Bob.
3. Bob è uno sviluppatore di Tails che possiede direttamente la chiave di firma di Tails. Così, Bob ha certificato che la chiave di firma di Tails appartiene davvero a Tails.

In questo scenario, tu hai trovato, tramite Alice e Bob, un percorso per fidarti della chiave di firma di Tails senza bisogno di dipendere da autorità certificative.

Fare affidamento sulla rete di fiducia richiede contemporaneamente prudenza e supervisione intelligente da parte di coloro che la usano. I dettagli tecnici sono fuori dalla portata di questo documento.

Dal momento che la rete di fiducia è basata su concrete relazioni umane e interazioni che riguardano la vita reale, la cosa migliore è entrare in contatto con persone che abbiano dimestichezza con OpenPGP e costruire relazioni di fiducia in modo da trovare il tuo personale percorso di fiducia fino alla chiave di firma di Tails.