Checksums & ondertekening controleren

Software die in de zorg met gesprekken werkt, installeer je niet op goed vertrouwen. Deze gids is voor wie wil nagaan dat een Verbinn-download echt van ons komt en onderweg niet is veranderd: met een checksum, met de Apple-ondertekening, en — voor updates — met onze eigen handtekening.

Waar de checksums staan

Op de downloadpagina staan bij elke download de versie en de sha256. Die komen uit een klein bestand naast de download, dat bij elke publicatie opnieuw wordt gemaakt:

• Kern-installer: /dl/kern/latest.json met versie, bestand, sha256 en gepubliceerd.
• Desktop-app: /dl/client/latest.json met dezelfde velden plus architecturen (arm64 en x86_64: één bestand voor Apple Silicon én Intel), en een blok windows met de Windows-testversie (daar staat ook gesigneerd: false).

De downloadknoppen wijzen naar een vaste naam (installeer-verbinn-kern.zip, verbinn.dmg, verbinn-setup.exe); dat is precies het bestand waarover de sha256 is berekend.

De sha256 controleren

Op een Mac, in Terminal:

shasum -a 256 ~/Downloads/installeer-verbinn-kern.zip
shasum -a 256 ~/Downloads/verbinn.dmg

Op Windows, in PowerShell:

Get-FileHash $env:USERPROFILE\Downloads\verbinn-setup.exe -Algorithm SHA256

De uitkomst moet teken voor teken gelijk zijn aan de sha256 op de downloadpagina (hoofd- of kleine letters maakt niet uit). Wijkt hij af: niet openen, opnieuw downloaden, en bij twijfel contact opnemen.

Ondertekening en notarisatie (macOS)

De Kern-installer (Installeer Verbinn Kern) en de desktop-app zijn ondertekend met een Apple Developer ID en door Apple genotariseerd. macOS controleert dat zelf bij het openen; zo controleer je het met de hand, na het uitpakken van de zip:

spctl --assess --type execute -vv "Installeer Verbinn Kern.app"
codesign --verify --deep --strict --verbose=2 "Installeer Verbinn Kern.app"

spctl hoort accepted te melden met als bron een genotariseerde Developer ID, en de naam van de ondertekenaar. codesign hoort valid on disk en satisfies its Designated Requirement te melden. Voor de app doe je hetzelfde met /Applications/Verbinn.app nadat je hem uit de .dmg hebt gesleept. Heb je de Xcode-hulpmiddelen, dan laat xcrun stapler validate ook zien dat het notarisatiebewijs aan het bestand vastzit.

Windows

De Windows-app is nieuw, draait nog niet bij klanten en is nog niet met een Windows-certificaat ondertekend. Daardoor waarschuwt Windows op twee plekken. Edge kan de download eerst tegenhouden (“wordt niet vaak gedownload”): kies bij de download … › Behouden › Meer weergeven › Toch behouden. Bij het starten kan SmartScreen waarschuwen. Controleer in beide gevallen eerst de sha256 zoals hierboven; komt die overeen, dan kies je Meer informatie › Toch uitvoeren. Staat op de werkplek Slimme app-beheer (Smart App Control) aan, of beperkt jullie IT-beheer welke programma's mogen starten (AppLocker, WDAC), dan kan de installatie helemaal geblokkeerd worden; dat lost alleen jullie beheerder op. Windows-werkplekken kunnen in de praktijk altijd de browserversie gebruiken die de Kern zelf serveert.

Hoe updates worden gecontroleerd

De Kern

Zodra de Kern met de activatiecode is aangemeld, kijkt hij 's nachts (om 04:15) of er een nieuwe versie voor hem klaarstaat. Hij installeert die alleen als er geen gesprek in verwerking is en geen opname loopt, en alleen als twee controles slagen:

1. de sha256 van het pakket klopt met die in het updatebericht, dat de Kern over een verbinding met een vastgepind certificaat ophaalt;
2. de minisign-handtekening (Ed25519) klopt met onze publieke release-sleutel. Die sleutel zet de installer op de Kern; de geheime sleutel staat offline en nooit op een server.

Faalt een van beide, dan wordt er niets geïnstalleerd. Een oudere versie over een nieuwere heen zetten weigert de Kern ook. Mislukt een installatie na het starten, dan zet hij de vorige versie terug. Wat er de laatste keer gebeurde, zie je in Verbinn onder Beheer › Verbinding, bij Laatste updatecontrole (bijvoorbeeld update geweigerd, met de reden). Staat er geen publieke sleutel op de Kern, dan installeert hij geen updates.

De desktop-app

De desktop-app vraagt bij jullie eigen Kern of er een update is, over de verbinding die hij bij het koppelen aan jullie Kern heeft vastgepind. Het updatebestand zelf komt van verbinn.com. Elke update is met minisign ondertekend; de publieke sleutel zit in de app zelf, en een update met een handtekening die niet klopt, installeert de app niet. Laat jullie netwerk geen verbinding met verbinn.com toe, dan meldt de app de update wel, maar komt het bestand niet binnen.