ダウンロードしたファイルが本物か確かめる

いま署名しているもの・していないもの

• v0.5.5 から、GitHub Releases のリリースに、指紋の一覧 SHA256SUMS.txt と、その一覧への作者の署名 SHA256SUMS.txt.sig を付けています。v0.5.6 のリリースに付いているのは 7 つです: PocketRoles-<版>.zip（MOD 本体）、PocketRoles-Setup-<版>.zip（ランチャー）、Source- で始まる zip 3 つ（BepInEx などの部品のソース。部品の許諾に合わせて付けています。遊ぶのには要りません）、SHA256SUMS.txt（上の 5 つの zip の指紋の一覧）、SHA256SUMS.txt.sig（その一覧への作者の署名）。
• リリースのページのいちばん下にある「Source code (zip)」「Source code (tar.gz)」は、GitHub が自動で付ける物です。
• 署名の鍵は RSA 3072 ビット / SHA-256、keyid は 91400fdf0f5af4ca です。
• Windows のコード署名（Authenticode）は、まだ付けていません。そのため、初めて開く時に「Windows によって PC が保護されました」が出ます（くわしく）。
• いまのランチャーは、ダウンロードの時に SHA256SUMS.txt を自分では確かめません。確かめられるのは、あなたが下の手順を行った時だけです。

指紋の確かめ方

公式の指紋がのっている所は 2 つです。

• リリースのページの、各ファイルの横に出る sha256: の値。画面では途中までしか出ないので、横のコピーのボタン（四角が 2 つ重なった印）で全部を写します。リリースの本文に書いてある値ではなく、ファイルの横の値を使ってください。
• 同じリリースの SHA256SUMS.txt の、同じファイル名の行。

1. GitHub Releases の同じリリースから、zip をダウンロードします（SHA256SUMS.txt で比べる時は、SHA256SUMS.txt も）。
2. スタートメニューで「PowerShell」と検索して開きます。
3. Get-FileHash と空白を 1 つ打って、ダウンロードした zip を窓にドラッグして Enter を押します。
4. 出てきた Hash が、ファイルの横の sha256: の値（sha256: の後ろ）か、SHA256SUMS.txt の同じファイル名の行と同じなら、GitHub で公開しているものと同じファイルです（大文字と小文字の違いは気にしなくて大丈夫です）。メモ帳に 2 つを 2 行に並べて貼ると、比べやすいです。

PS> Get-FileHash ここに zip をドラッグ

これで分かるのは、ダウンロードの途中で壊れていないことと、一覧に書いてあるファイルそのものであることです。一覧そのものが作者の出したものかは、署名で確かめます（確かめる道具は PocketRoles のソースの tools/sign-definitions.ps1 にあります）。