# Cómo verificar la firma del Navegador Tor

Windows
macOS
Linux

Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".

Por ejemplo, `tor-browser-windows-x86_64-portable-13.0.1.exe` va acompañado de `tor-browser-windows-x86_64-portable-13.0.1.exe.asc`. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.

Por favor ten en cuenta que la firma tiene la fecha del momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. Al verificar la firma, la fecha reportada puede ser distinta de la del ejemplo.

### Instalar GnuPG

En primer lugar, necesitas tener GnuPG instalado antes de verificar firmas. Si usas Windows, descarga Gpg4win y ejecuta el instalador. A fin de verificar la firma, necesitarás escribir unos pocos comandos en la utilidad de línea de comandos de Windows, `cmd.exe`.

### Obtener la clave de los desarrolladores de Tor

El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):

    gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org

Esto debería de mostrar algo parecido a:

    gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
    EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
    uid           [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>

NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.

Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).

Tras importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):

    gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Este comando tiene como resultado que la clave se guarde en un archivo en la ruta `./tor.keyring`, por ejemplo, en la carpeta actual. Si `./tor.keyring` no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.

### Verificar la firma

Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.

Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.

#### Para los usuarios de Windows (cambia x86_64 por i686 si tienes el paquete de 32 bits):

    gpgv --keyring .\tor.keyring Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe.asc Downloads\tor-browser-windows-x86_64-portable-13.0.1.exe

El resultado del comando debe contener:

    gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"

Si te aparecen mensajes de error qu digan 'No existe el archivo o directorio' algo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.

#### Actualizar la clave PGP

Ejecuta este comando para actualizar la clave de inicio de sesión de desarrollador del Navegador Tor en tu juego de llaves desde el servidor de claves. Esto también buscará las nuevas subclaves.

    gpg --refresh-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

#### Método alternativo (usando una clave pública)

Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:

    curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -

La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Es posible que quieras saber más sobre GnuPG.

Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".

Por ejemplo, `tor-browser-macos-14.5.6.dmg` va acompañado de `tor-browser-macos-14.5.6.dmg.asc`. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.

Por favor ten en cuenta que la firma tiene la fecha del momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. Al verificar la firma, la fecha reportada puede ser distinta de la del ejemplo.

### Instalar GnuPG

En primer lugar, necesitas tener GnuPG instalado antes de verificar firmas. Si estás usando macOS, puedes instalar GPGTools.

Para comprobar la validez de la firma digital, debes escribir unos cuantos comandos en el Terminal (está en "Aplicaciones").

### Obtener la clave de los desarrolladores de Tor

El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):

    gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org

Esto debería de mostrar algo parecido a:

    gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
    EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
    uid           [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>

NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.

Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).

Tras importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):

    gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Este comando tiene como resultado que la clave se guarde en un archivo en la ruta `./tor.keyring`, por ejemplo, en la carpeta actual. Si `./tor.keyring` no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.

### Verificar la firma

Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.

Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.

#### Para usuarios macOS:

    gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-macos-13.0.1.dmg.asc ~/Downloads/tor-browser-macos-13.0.1.dmg

El resultado del comando debe contener:

    gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"

Si te aparecen mensajes de error qu digan 'No existe el archivo o directorio' algo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.

#### Método alternativo (usando una clave pública)

Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:

    curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -

La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. También puedes conseguir la clave ejecutando el siguiente comando:

    gpg --keyserver keys.openpgp.org --search-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Es posible que quieras saber más sobre GnuPG.

Cada archivo en nuestra página de descarga está acompañado por un archivo con el mismo nombre que el paquete y la extensión ".asc". Estos archivos .asc son firmas OpenPGP. Te permiten verificar que el archivo que has descargado es exactamente el que intentamos que obtengas. Esto va a variar para cada navegador web, pero, generalmente, puedes descargar este archivo haciendo clic derecho en el vínculo "firma" y seleccionando la opción "guardar archivo como".

Por ejemplo, `tor-browser-linux-x86_64-14.5.6.tar.xz` va acompañado de `tor-browser-linux-x86_64-14.5.6.tar.xz.asc`. Estos son nombres de archivos de ejemplo y no coincidirán exactamente con los nombres de los archivos que descargues.

Por favor ten en cuenta que la firma tiene la fecha del momento en que el paquete ha sido firmado. Por lo tanto, cada vez que se sube un archivo nuevo, se genera una nueva firma con una fecha distinta. Al verificar la firma, la fecha reportada puede ser distinta de la del ejemplo.

### Instalar GnuPG

Si usas GNU/Linux, probablemente ya tengas instalado GnuPG, la mayoría de distribuciones lo incluyen.

Para comprobar la validez de la firma digital, necesitarás teclear unos pocos comandos en una ventana de terminal. Cómo hacerlo exactamente varía dependiendo de tu distribución.

### Obtener la clave de los desarrolladores de Tor

El equipo del Navegador Tor firma los lanzamientos del mismo. Importa la clave de firma de los desarrolladores de Tor (0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290):

    gpg --auto-key-locate nodefault,wkd --locate-keys torbrowser@torproject.org

Esto debería de mostrar algo parecido a:

    gpg: key 4E2C6E8793298290: public key "Tor Browser Developers (signing key) <torbrowser@torproject.org>" imported
    gpg: Total number processed: 1
    gpg:               imported: 1
    EF6E286DDA85EA2A4BA7DE684E2C6E8793298290
    uid           [ unknown] Tor Browser Developers (signing key) <torbrowser@torproject.org>

NOTA: El resultado puede diferir un poco del anterior (por ejemplo, las fechas de caducidad), sin embargo, debería ver la clave importada correctamente.

Si te aparece un mensaje de error, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto. Tal vez puedas importar la clave usando la sección Solución alternativa (usar una clave pública).

Tras importar la clave, puedes guardarla en un archivo (identificado aquí por su huella digital):

    gpg --output ./tor.keyring --export 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Este comando tiene como resultado que la clave se guarde en un archivo en la ruta `./tor.keyring`, por ejemplo, en la carpeta actual. Si `./tor.keyring` no existe después de ejecutar este comando, algo ha salido mal y no puedes continuar hasta que hayas averiguado por qué no funcionó esto.

### Verificar la firma

Para comprobar la firma digital del paquete que has descargado, tienes que descargar el archivo ".asc" correspondiente, además del instalador propiamente dicho, y verificarla con un comando que usa GnuPG para ello.

Los siguientes ejemplos asumen que has descargado estos dos archivos en la carpeta "Descargas". Ten en cuenta que estos comandos utilizan los nombres de los archivo de ejemplo y el tuyo será diferente: tendrás que sustituir los nombres de los archivos de ejemplo por los nombres exactos de los archivos que descargaste.

#### Para usuarios de GNU/Linux (cambia x86_64 por i686 si tienes el paquete de 32 bits):

    gpgv --keyring ./tor.keyring ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz.asc ~/Downloads/tor-browser-linux-x86_64-13.0.1.tar.xz

El resultado del comando debe contener:

    gpgv: Good signature from "Tor Browser Developers (signing key) <torbrowser@torproject.org>"

Si te aparecen mensajes de error qu digan 'No existe el archivo o directorio' algo salió mal con uno de los pasos previos, u olvidaste que estos comandos usan nombres de archivos de ejemplo, y los tuyos serán un poco diferentes.

#### Actualizar la clave PGP

Ejecuta este comando para actualizar la clave de inicio de sesión de desarrollador del Navegador Tor en tu juego de llaves desde el servidor de claves. Esto también buscará las nuevas subclaves.

    gpg --refresh-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

#### Método alternativo (usando una clave pública)

Si encuentras errores que no puedes solucionar, sientete libre de descargar y usar esta clave pública. Alternativamete, puedes usar el siguiente comando:

    curl -s https://openpgpkey.torproject.org/.well-known/openpgpkey/torproject.org/hu/kounek7zrdx745qydx6p59t9mqjpuhdf |gpg --import -

La clave de los Desarrolladores del Navegador Tor también está disponible en keys.openpgp.org, y puede ser descargada de https://keys.openpgp.org/vks/v1/by-fingerprint/EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. También puedes conseguir la clave ejecutando el siguiente comando:

    gpg --keyserver keys.openpgp.org --search-keys EF6E286DDA85EA2A4BA7DE684E2C6E8793298290

Es posible que quieras saber más sobre GnuPG.