ダウンロードしたファイルの確認
偽のウォレットは、あなたのリカバリーフレーズをどこか別の場所へ送るその瞬間まで、本物とまったく同じように見え、同じように動作することがあります。だからこそ、入手したウェブサイトではなく、ファイルそのものを確認してください。ZooBC はリリースのフィンガープリントをチェーン上に記録しており、誰でもブラウザやターミナルで、ファイルのフィンガープリントをそれと比較できます。
チェーン上のフィンガープリント
フィンガープリントとは、ファイルの SHA-256 ハッシュです。ファイルの 1 バイトを変えるだけでハッシュは完全に変わるため、ハッシュが一致すれば、それはまさに同じファイルです。
チェーンは 2 つの場所にハッシュを保持しています。
- リリースの登録簿。 チェーンのジェネシスで指定されたアカウントであるリリース権限者が、各リリースをそのバージョン文字列と 32 バイトのマニフェストハッシュとともに登録し、後で取り消すこともできます。単体のファイルも登録されます。ウォレット、エクスプローラー、アドレスのファイルはそれぞれ独自のハッシュを持ち、バンドルの項目はその SHA256SUMS ファイルの SHA-256 です。登録済みの席の 3 分の 2 もリリースを拒否でき、1 週間の投票を経れば権限者を交代させることもできます（リリースとアップデート）。
- トランザクションのメッセージ。 どのトランザクションもメッセージにハッシュを運ぶことができ、そのハッシュは検索できます。
これらの記録はチェーンの一部なので、どのノードもそれについて同じ答えを返します。
/verify ページ
すべてのゲートウェイは /verify でページを提供しています。そこにファイルをドロップすると、ページは次のことを行います。
- ブラウザの中で SHA-256 ハッシュを計算します。ファイルがアップロードされることはありません。
- そのハッシュを、リリースの一覧（
/api/v1/release/list）と、トランザクションのメッセージ（/api/v1/search/transactions?q=にハッシュを続けたもの）の中で探します。 - 3 つのステータスのいずれかを報告します。ハッシュがチェーンに登録されていればオンチェーン、ファイルがチェーンの裏付けを持つはずなのにハッシュが登録されておらず、ゲートウェイだけがそれを保証している場合はアンカー保留中、リリース権限者がそれを取り下げた場合は取り消し済みです。
読み込まれたとき、ページは現在のリリース権限者（/api/v1/release/authority）も読み、権限者の交代が保留中であれば警告します。取り消し済みのファイルとは、取り下げられたファイルのことです。削除してください。
ウェブサイトなしで
ページを信頼する必要さえありません。自分でハッシュを計算し、自分で動かしているノードを含め、どのノードにでもリリースの一覧を尋ねてください。
sha256sum wallet.html
GET /api/v1/release/list計算したハッシュが、取り消されていないリリースについて一覧に載っていれば、あなたはリリースされたファイルを持っています。バンドルの場合は、その SHA256SUMS ファイルのハッシュを一覧と照合し、それからバンドルのファイルと同じ場所で sha256sum -c SHA256SUMS を実行します。どのノードも同じチェーンから答えるため、どの 1 つのウェブサイトも信頼する必要はありません。
ゲートウェイが公開するもの
各ゲートウェイは、ウォレットのファイルのハッシュとその zip アーカイブのハッシュを含む検証マニフェストを公開しています。zip は再現可能な方法でビルドされます。同じファイルからは常に同じアーカイブ、したがって同じハッシュが得られるため、誰でもそれを作り直して比較できます。
何の証明にもならないもの
- 鍵マーク（HTTPS）が証明するのは、どのウェブサイトにたどり着いたかだけで、ファイルが何をするかではありません。
- ファイルのサイズは簡単にまねできます。
- 正しく見える残高は、あなたのリカバリーフレーズが次にどこへ行くかについて何も語りません。
ファイルがリリースされたものであることを教えてくれるのは、チェーンと比較したハッシュだけです。