Richtlinie zur Code-Signierung.

Stand: vorbereitet, nicht in Kraft. Die Windows-Downloads von Rawtonic sind noch nicht codesigniert. Diese Richtlinie ist für die Signierung über das Programm der SignPath Foundation für Open-Source-Projekte geschrieben und gilt ab der ersten so signierten Version; deren Versionshinweise werden das sagen. Bis dahin prüfst du Downloads mit ihrem SHA-256 (siehe unten).

Sobald in Kraft: Kostenlose Code-Signierung durch SignPath.io, Zertifikat von der SignPath Foundation.

Was signiert wird

• Nur Windows-Dateien, die aus dem öffentlichen Repository rawtonic-app/rawtonic von dessen GitHub-Actions-Workflow windows-installer.yml auf von GitHub gehosteten Runnern gebaut werden, aus einem Release-Commit auf main. Nichts, was auf dem Rechner eines Entwicklers gebaut wird, wird signiert.
• Die Dateien: die App rawtonic-app.exe, die Installer Rawtonic_<version>_x64.msi und Rawtonic_<version>_x64-setup.exe sowie die Kopie von rawtonic-app.exe in Rawtonic_<version>_x64-portable.zip.
• Mit der App ausgelieferte Bibliotheken Dritter (zum Beispiel die ONNX-Runtime-DLLs von Microsoft) werden nicht von diesem Projekt signiert; sie behalten die eigene Signatur ihrer Hersteller, falls vorhanden.
• Jede Signieranfrage wird von einer freigebenden Person von Hand freigegeben, für jeweils eine Version.

Team und Rollen

• Committer und Reviewer (dürfen den Quellcode ohne weitere Prüfung ändern): Mitglieder der Organisation rawtonic-app: Niels Franke.
• Freigebende (entscheiden, ob eine Version signiert wird): Inhaber der Organisation rawtonic-app: Niels Franke.

Änderungen von anderen (Pull Requests) werden von einem Committer geprüft, bevor sie übernommen werden. Alle Teammitglieder nutzen Mehr-Faktor-Authentifizierung für GitHub und SignPath.

Einen Download prüfen

• Signatur (signierte Versionen): Rechtsklick auf die Datei → Eigenschaften → Digitale Signaturen; der Signierer ist SignPath Foundation. In der PowerShell muss Get-AuthenticodeSignature für die Datei Valid und ein auf die SignPath Foundation ausgestelltes Zertifikat zeigen.
• Prüfsumme (jede Version): Get-FileHash muss für die Datei den SHA-256 ausgeben, der in SHA256SUMS-windows.txt der Version steht. Das erkennt einen beschädigten Download; allein beweist es nicht, wer die Datei erstellt hat.
• Wenn Windows oder der Browser einen Download zurückhält: Windows hat den Download blockiert?

Datenschutz

Rawtonic sendet von sich aus nichts außer einer Update-Prüfung beim Start: höchstens einmal alle 24 Stunden fragt es die öffentliche Releases-API von GitHub, ob es eine neuere Version gibt. Sie ist standardmäßig eingeschaltet und lässt sich unter Einstellungen → Allgemein („Beim Start nach Updates suchen“) abschalten. Alles andere, was online geht (Downloads von KI-Modellen, Karten, Problem- und Absturzberichte, die freiwillige Nutzungsstatistik), geschieht nur, wenn du es verlangst, und nachdem gezeigt wurde, was gesendet wird. Details: Datenschutz.

Kontakt

Fragen zu dieser Richtlinie oder ein vermuteter Missbrauch einer Signatur: hello@rawtonic.cc oder ein Issue auf GitHub.