Installer-Verifikation - SHA256 Hashes angeben

[daronim]

Hallo zusammen,
ich nutze Hybrid jetzt seit ein paar Tagen und bin sehr zufrieden. Allerdings ist mir aufgefallen, dass die Installer-Datei keine digitale Signatur hat, was bei meinem Browser und auch bei Windows zu Sicherheitswarnungen führt.
Wenn ich im Explorer in den Eigenschaften auf Signaturen gehe, hängt er erstmal ein bisschen und dann gibt es eine leere Liste, deswegen denke ich mal es gibt keine. Kann aber auch sein, dass es bei mir nicht lädt.
Es wäre es super hilfreich, wenn im Changelog oder auf der Download-Seite die SHA256-Hashes der jeweiligen Versionen veröffentlicht würden. So könnte man zumindest die Integrität der heruntergeladenen Datei überprüfen.
Ich denke nicht wirklich, dass das Programm schädlich ist (zumindest die selur.de Version), es gibt aber in Foren Verweise auf ein paar (wahrscheinlich false-)positive Flags auf Virencheck Seiten, dazu ist das Projekt nicht Open-Source, nicht signiert und der Installer ist zu groß für VirusTotal, da würden die SHA256-Hashes zumindest subjektiv ein bisschen helfen.
Danke schon mal und viele Grüße!

[Selur]

Werde drüber nachdenken, noch unsicher ob sich der Aufwand lohnt.
Vermute es gibt eine Möglichkeit das in Inno Installer zu unterstützen.

Cu Selur

[Selur]

Scheint nicht, dass es da eine fertige Lösung in InnoInstaller gibt.

Hab mal eine batch Datei erstellt:

@echo off
REM Prüfen, ob eine Datei übergeben wurde
if "%~1"=="" (
    echo Bitte eine Datei auf diese Batch-Datei ziehen.
    pause
    exit /b
)

REM Originaldatei
set "file=%~1"
REM Ausgabe-Datei
set "outfile=%file%.sha256.txt"

REM SHA256 berechnen und nur den Hash extrahieren
for /f "tokens=1,* delims= " %%a in ('certutil -hashfile "%file%" SHA256 ^| findstr /r /v "hash"') do set "hash=%%a"

REM Hash in Datei schreiben
echo %hash% > "%outfile%"

REM Fertig
echo SHA256 für "%file%" in "%outfile%" geschrieben.
pause

die den sha256-Wert einer Datei berechnet und eine .txt erstellt.

Hab die Dateien mal neben den Downloads veröffentlicht/verlinkt.

Cu Selur

[daronim]

Hallo Selur,
danke für die schnelle Reaktion und vor allem dafür, dass du die SHA256-Hashes direkt hinzugefügt hast!
Hab sie mit meinem Download verglichen, passt alles.
Verstehe natürlich, dass Code-Signing-Zertifikate für ein kostenloses Projekt nicht unbedingt wirtschaftlich sind, die Checksummen sind auf jeden Fall eine gute Lösung.
Danke nochmal für die tolle Software!