Por ejemplo, la página
https://bitcoincore.org/en/download/ tiene las firmas digitales, ¿cómo hay que proceder para hacer una instalación correcta y segura?
Una duda que me entra: si un cracker (que no hacker) modificara esa página y pusiera a disposición de los usuarios su malware, ¿no podría modificar también las firmas digitales para que validaran su malware y engañarnos así también?
Hay un poco de contexto en
https://electrum.org/#download que también usa el sistema de la firma digital.
Aparentemente si solo fueran hashes del tipo .md5, en este caso no hubiera protección efectiva, porque simplemente los crackers reemplazarían a los archivos con los instaladores/código fuente y a los hashes a la vez.
Con las firmas digitales según electrum.org esto no sería posible tan facilmente. Lo que hace Electrum es que almacena la clave pública del desarrollador, alternativamente, en otro sitio web, en Github (controlado por Microsoft). El cracker entonces debería comprometer electrum.org y la cuenta de uno de los administradores de la cuenta en Github a la vez. No es completamente imposible pero sí bastante más difícil.
Lo que sí, si no entiendo mal: si uno ciegamente baja la clave pública del sitio del software (no de la fuente alternativa) sin verificar que se corresponde a la almacenada en Github, nuevamente uno se expone al problema de que la firma podría ser reemplazada. Por lo cual dice en electrum.org:
When you import a key, you should check its fingerprint using independent sources, such as here, or use the Web of Trust.
... es decir, al final siempre hay que chequear distintas fuentes. Pero solo hay que hacerlo una vez, porque cuando la firma correcta ya está importada en tu ordenador, siempre podrás bajar nuevas versiones y podrás verificarlas correctamente.
Obviamente hay todavía algo que podría pasar: que un cracker adquiera la clave privada de un desarrollador, que este use para firmar los instaladores. Pero nuevamente, esto ya supone dos hacks distintos y lo hace mucho más improbable al ataque. Y en el caso de que alguien lo llegara a lograr, probablemente en otras fuentes (Twitter, Github, Bitcointalk etc.) pronto se difundiría la noticia - sin embargo, algo de daño quizá se puede hacer.
