Прокси-клиент — особый софт: он обрабатывает весь ваш сетевой трафик и в принципе может видеть каждый адрес, куда вы заходите. Из-за этого откуда вы его взяли важнее, чем для чего-либо ещё, что вы устанавливаете.
Здесь три темы: как проверить файл, как распознать плохой установщик и как оценить предупреждение антивируса.
1. Зачем вообще проверять
Между издателем и вами установщик может быть изменён в нескольких точках:
Принцип прост: издатель публикует хеш файла, вы считаете хеш того, что скачали, и совпадение означает, что файл не менялся. У хеш-функций есть свойство: изменение даже одного байта даёт совершенно другое значение.
2. Считаем хеш файла
Windows (PowerShell, встроенный)
Get-FileHash .\Clash.Verge_2.5.2_x64-setup.exe -Algorithm SHA256Вывод выглядит так:
Algorithm Hash Path
--------- ---- ----
SHA256 A1B2C3D4E5F6...(64 шестнадцатеричных символа) C:\...macOS / Linux
shasum -a 256 Clash.Verge_2.5.2_x64.dmg
# или
sha256sum Clash.Verge_2.5.2_amd64.debAPK на Android
На самом телефоне это неудобно; скопируйте файл на компьютер и используйте команды выше либо поставьте файловый менеджер, умеющий считать хеши.
Сравнение
Сверьте своё значение с тем, что на странице релиза. Читать все 64 символа не нужно — сравнить первые восемь и последние восемь более чем достаточно (коллизию, удобно совпадающую именно так, на практике не построить).
Регистр значения не имеет; часть инструментов выводит верхний, часть нижний, так что перед сравнением приводите к одному виду.
3. Когда хеш не опубликован
Не каждый релиз его публикует. Есть две альтернативы:
Вариант А: скачать из двух источников и сравнить
Возьмите одну копию отсюда и одну из апстрим-релиза на GitHub, потом посчитайте хеш обеих. Совпали — это один и тот же файл, что косвенно доказывает, что мы ничего не перепаковывали.
Ссылки на апстрим-проекты есть в подвале каждой страницы этого сайта.
Вариант Б: проверить цифровую подпись (Windows)
Правый клик по exe → Свойства → вкладка Цифровые подписи.
Если подпись есть, вы увидите подписанта и метку времени. Две оговорки:
- Отсутствие подписи не означает, что что-то не так — сертификаты подписи кода стоят вполне реальных денег ежегодно, и многие открытые проекты их не берут
- Подпись от незнакомого имени тревожнее — это указывает на то, что кто-то переподписал файл
4. Как распознать перепакованный установщик
Даже без хеширования эти признаки говорят о многом:
| Признак | Что это значит |
|---|---|
| Вам дали «ускоритель загрузки» | Несколько сотен КБ, которые потом тянут настоящую программу — попутно добавляя лишнее |
| Установщик предлагает дополнительный софт | Настоящий установщик никогда не спрашивает, не нужен ли вам ещё браузер, антивирус или тулбар |
| В имени файла «portable», «cracked» или «patched» | Clash Verge бесплатен и открыт; взламывать там нечего |
| Номер версии не сходится | Заявлено как последняя, а строка версии многолетней давности |
| После установки появились новые программы | Значки на рабочем столе, которых вы туда не ставили |
| Просит сначала отключить антивирус | Легальный софт этого не требует |
5. Срабатывания антивируса
Прокси-софт отмечается часто, и обычно это ложное срабатывание — но не автоматически.
Почему так происходит
Как решить, ложное ли оно
Добавление исключения, когда вы убедились
Windows Defender: Параметры → Конфиденциальность и защита → Безопасность Windows → Защита от вирусов и угроз → Управление настройками → Исключения → Добавить исключение → Папка → выберите каталог установки Clash Verge.
Сторонние продукты прячут это под «доверенная зона», «белый список» или «исключения»; поиск по названию продукта плюс «исключения» находит нужное.
6. Ссылка подписки тоже часть этой темы
Чистый установщик — только половина дела:
Почему бесплатные подписки неизвестного происхождения — плохая идея: тот, кто предоставляет подписку, видит, куда идёт весь ваш трафик. Бесплатной услуге надо как-то зарабатывать, а данные о трафике монетизируются легче всего. Это не запугивание — это базовая экономика такого рода сервисов.
7. Короткая политика загрузки
Коротко
- Проверка SHA256: одна команда, одна минута, снимает большую часть риска
- Официального хеша нет: скачайте из двух источников и сравните
- Сработал антивирус: сначала судите по источнику, потом по числу согласных движков; при ложном срабатывании добавьте исключение для папки
- Никогда не трогайте «взломанные» сборки — этот софт бесплатен, так что для существования такого пакета есть только одна причина
Всё, что мы раздаём, совпадает с апстрим-релизом без перепаковки, и вы можете убедиться в этом сами описанными выше способами — ссылка на каждый апстрим-проект есть в подвале.
Смотрите также: выбор архитектуры APK и обновление клиента и ядра.
