vrOS
文档

安全

校验你的下载

每个 vrOS 版本都会签名两次。本页是用来核对签名的基准——签名本身并不能证明任何事。

签名能证明什么，不能证明什么

vrOS 使用自签名证书签名。这是有意为之：目的是表明该版本来自我们，而不是让 Windows 不再警告。Windows 仍会显示发布者未经验证，这是预期结果。

签名给你的是一段指纹。如果你手上这份的指纹与下方一致，文件就来自我们且此后未被改动。如果不一致，说明有问题——请看本页末尾。

这防的是下载损坏或文件被改动，而不是已经控制了你电脑的人。能改动二进制文件的人，同样能改动其中的校验逻辑。

Windows

右键点击 vros.exe，选择「属性」，打开「数字签名」选项卡。或在 PowerShell 中运行：

主体
CN=catnet systems
SHA-256 指纹
003F 4DCF 8160 8871 CB68 85F6 1071 C42A DCE6 7DC4 BF7C 2E83 6326 7B50 1F28 68F9
Get-AuthenticodeSignature vros.exe | Format-List

Status 应显示 NotTrusted 或 UnknownError。自签名证书就是这样，属于正常。真正重要的是证书本身：其主体和指纹必须与上方的值一致。真正代表出问题的状态是 HashMismatch。

所有平台

每个版本都附带一个记录二进制文件哈希的 SHA256SUMS，使用与本项目每次提交相同的 SSH 密钥签名。在无人替你校验二进制文件的 Linux 上，这就是可用的校验方式。

  1. 将下方公钥保存为 vros-release.pub，再据此写出一行 allowed-signers。
  2. 确认哈希与二进制文件一致。
  3. 校验哈希文件的签名。

公钥

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAICo4wouetRRRvTvo/skt/npKjIwb9bjRLrj35wyWK3Vv

allowed_signers

releases@vros.cat namespaces="vros-release" ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAICo4wouetRRRvTvo/skt/npKjIwb9bjRLrj35wyWK3Vv

命名空间很重要。发布签名使用独立的命名空间，因此为发布而信任的密钥不会被悄悄用于其他用途。

校验哈希

sha256sum -c SHA256SUMS

校验签名

ssh-keygen -Y verify -f allowed_signers -I releases@vros.cat \
  -n vros-release -s SHA256SUMS.sig < SHA256SUMS

在应用内

vrOS 自己也会显示同一段指纹。打开托盘图标并选择「关于」，签名一节会列出为当前运行副本签名的证书。与本页核对即可。

如果对不上

不要运行该文件。

删除它并通过 Steam 重新安装，Steam 会校验自己的下载。如果重装后仍然对不上，请告诉我们。

在 Discord 告诉我们