1. Escribe qué vas a comprobar

Descarga un instalador, un manifiesto y su firma desde la fuente oficial de Sparrow. No instales. Anota nombre del paquete, versión y sistema operativo.

Antes de usar una herramienta, responde: ¿qué resultado probaría que este archivo coincide con el manifiesto? ¿Qué resultado probaría que el manifiesto está firmado? ¿Cómo identificarías la clave del firmante?

2. Obtén una comprobación de referencia

Realiza el procedimiento oficial de verificación. Conserva por separado la huella comprobada, el resultado de firma y el hash del paquete. No escribas simplemente “todo correcto”.

Para calcular el hash del instalador y compararlo con su línea del manifiesto, usa el comando de tu sistema:

# Linux
sha256sum NOMBRE-DEL-INSTALADOR
# macOS
shasum -a 256 NOMBRE-DEL-INSTALADOR
# Windows (PowerShell)
Get-FileHash NOMBRE-DEL-INSTALADOR -Algorithm SHA256

Los 64 caracteres del resultado deben coincidir, uno por uno, con los de esa línea del manifiesto (en Windows salen en mayúsculas; no importa). En Linux puedes compararlo automáticamente con sha256sum --check --ignore-missing sparrow-VERSION-manifest.txt, que responde «OK» o «FAILED».

3. Formula una predicción

Si cambias un carácter del documento firmado, ¿seguirá siendo válida la misma firma? Escribe tu predicción antes de hacer la prueba. Así podrás contrastar una idea, en lugar de interpretar el resultado después.

4. Crea un archivo modificado: cambia una copia del manifiesto

1. Copia el manifiesto a un nuevo archivo llamado manifiesto-prueba.txt.
2. Ábrelo en un editor de texto plano y cambia un carácter de una línea.
3. Guárdalo sin sobrescribir el original.
4. Usa GPG para comprobar la firma original contra esta copia modificada.

gpg --verify sparrow-VERSION-manifest.txt.asc manifiesto-prueba.txt

Sustituye VERSION por la versión descargada. El resultado esperado es que la firma no valide el documento modificado.

GPG lo indica con BAD signature («firma INCORRECTA» si lo tienes en español). Con el original verás Good signature; el aviso de que la clave no está certificada con una firma de confianza es normal y no invalida la comprobación, siempre que la huella sea la que contrastaste.

Comprueba también el hash: calcula el SHA-256 del manifiesto original y de manifiesto-prueba.txt con el comando del paso 2. Un solo carácter distinto produce un hash completamente diferente: así se detecta un archivo modificado aunque a simple vista parezca igual.

5. Compara el archivo modificado con el original

Repite la comprobación con el manifiesto original. Debes poder explicar por qué los dos resultados difieren. La firma y la clave son las mismas; el documento comprobado ha cambiado.

Una discrepancia detectada no prueba por sí sola un ataque: en este ejercicio la provocaste tú. En una descarga real, necesitas investigar la causa antes de continuar.

Comprobación final

1. 1
   Relacionas cada prueba con su pregunta

   Hash, firma e identidad no son tres nombres para el mismo resultado.

2. 2
   Detectas el documento modificado

   Has comparado original y copia usando argumentos explícitos.

3. 3
   Conoces el límite

   Un programa auténtico puede tener errores. La verificación de descarga no es una auditoría del programa.

4. 4
   Puedes repetirlo

   Otra persona podría seguir tu registro e identificar exactamente qué comprobaste.

Entradas relacionadas