vrOS
ドキュメント

セキュリティ

ダウンロードを確かめる

vrOS のリリースは二重に署名されています。このページは署名を照合するための基準です。署名だけでは何も証明できません。

署名で分かること、分からないこと

vrOS は自己署名証明書で署名しています。これは意図的な選択です。目的はビルドが公式のものだと示すことであり、Windows の警告を消すことではありません。Windows は発行元が未確認だと表示し続けますが、それで正常です。

得られるのはフィンガープリントです。手元のコピーのものが下の値と一致すれば、そのファイルは公式のもので、その後変更されていません。一致しない場合は問題があります。ページ下部を参照してください。

これは壊れたダウンロードや改変されたファイルに対する備えであり、すでに端末を掌握した相手に対する備えではありません。バイナリを書き換えられる者は、その中の検証処理も書き換えられます。

Windows

vros.exe を右クリックしてプロパティを開き、「デジタル署名」タブを選びます。または PowerShell で:

サブジェクト
CN=catnet systems
SHA-256 フィンガープリント
003F 4DCF 8160 8871 CB68 85F6 1071 C42A DCE6 7DC4 BF7C 2E83 6326 7B50 1F28 68F9
Get-AuthenticodeSignature vros.exe | Format-List

Status は NotTrusted または UnknownError と表示されます。自己署名証明書はそう見えるのが正しい状態です。重要なのは証明書そのもので、サブジェクトとフィンガープリントが上の値と一致している必要があります。問題を意味するのは HashMismatch です。

すべてのプラットフォーム

各リリースにはバイナリのハッシュを記載した SHA256SUMS が同梱され、プロジェクトのコミットを署名しているものと同じ SSH 鍵で署名されています。バイナリを誰も検証してくれない Linux で機能するのはこの方法です。

  1. 下の公開鍵を vros-release.pub として保存し、そこから allowed-signers の行を作ります。
  2. ハッシュがバイナリと一致するか確認します。
  3. ハッシュファイルの署名を確認します。

公開鍵

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAICo4wouetRRRvTvo/skt/npKjIwb9bjRLrj35wyWK3Vv

allowed_signers

releases@vros.cat namespaces="vros-release" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAICo4wouetRRRvTvo/skt/npKjIwb9bjRLrj35wyWK3Vv

名前空間は重要です。リリース署名は専用の名前空間を使うため、リリース用に信頼した鍵が他の用途まで暗黙に信頼されることはありません。

ハッシュを確認

sha256sum -c SHA256SUMS

署名を確認

ssh-keygen -Y verify -f allowed_signers -I releases@vros.cat \
  -n vros-release -s SHA256SUMS.sig < SHA256SUMS

アプリ内で

vrOS 自身も同じフィンガープリントを表示します。トレイアイコンから「vrOS について」を開くと、署名セクションに実行中のコピーを署名した証明書が表示されます。このページと照合してください。

一致しない場合

そのファイルは実行しないでください。

削除して Steam から再インストールしてください。Steam は自身のダウンロードを検証します。再インストールしても一致しない場合は、ぜひ知らせてください。

Discord で知らせる