How to check that a Windows installer from Cato Trade was signed by us and has not been
changed since.
1. What the signature shows
Our Windows installers (Cato Terminal today, and Cato Copy when it is available for
Windows) are signed with a code signing certificate issued by Cato Trade itself, named
Cato Trade (self-signed). The signature shows that the file was signed
by the holder of that certificate and has not been changed since we signed it. A file
that was changed after signing fails the check.
The certificate is self-signed: no public certificate authority vouches for it, and
Windows does not know it. Windows may therefore still show
Unknown publisher or a SmartScreen warning when you open the installer.
That is expected. To continue, choose More info and then
Run anyway, but only after the check in section 3 passes.
The certificate file is public. It contains no private key.
3. How to check an installer
In File Explorer.
Right-click the installer, choose Properties, open the
Digital Signatures tab, select the signature and choose
Details, then View Certificate, open the
Details tab and read the Thumbprint.
In PowerShell.
Run this in the folder of the installer (use the name of the file you downloaded):
It must print the SHA-1 thumbprint in section 2, exactly. If it prints something else,
or the file shows no signature or the status HashMismatch, do not run
the file and write to support@catotrade.com.
Until Windows trusts our certificate, the signature status is not
Valid (for example UnknownError); that is expected and
is not a failure.
4. Optional: trust our certificate on your computer
This is not required to install or use our software. If you want Windows to recognise
our signature, first check that the downloaded file is ours: this must print the same
SHA-1 thumbprint as in section 2.
Our macOS downloads are not signed or notarised by Apple: we do not have an Apple
developer account. macOS asks you to confirm the first time you open the app; the app
guide explains the Open Anyway steps. To check that a macOS download is
the one we published, compare its SHA-256 checksum with the one published with the
release, for example with shasum -a 256 <file> in Terminal.
Verifique os nossos descarregamentos
Como confirmar que um instalador Windows da Cato Trade foi assinado por nós e não foi
alterado desde então.
1. O que a assinatura mostra
Os nossos instaladores Windows (o Cato Terminal hoje, e o Cato Copy quando estiver
disponível para Windows) são assinados com um certificado de assinatura de código
emitido pela própria Cato Trade, com o nome Cato Trade (self-signed). A
assinatura mostra que o ficheiro foi assinado pelo titular desse certificado e não foi
alterado desde que o assinámos. Um ficheiro alterado depois de assinado falha a
verificação.
O certificado é autoassinado: nenhuma autoridade de certificação pública o garante e o
Windows não o conhece. Por isso o Windows pode continuar a mostrar
Editor desconhecido ou um aviso do SmartScreen ao abrir o instalador. É
o esperado. Para continuar, escolha Mais informações e depois
Executar mesmo assim, mas só depois de a verificação da secção 3
passar.
2. O certificado
Titular
CN=Cato Trade (self-signed), O=Cato Trade, C=PT
Válido até
29 de outubro de 2029
Utilização
Apenas assinatura de código
Impressão digital SHA-1 (o valor que o Windows mostra)
O ficheiro do certificado é público. Não contém nenhuma chave privada.
3. Como verificar um instalador
No Explorador de Ficheiros.
Clique com o botão direito no instalador, escolha Propriedades, abra o
separador Assinaturas digitais, selecione a assinatura e escolha
Detalhes, depois Ver certificado, abra o separador
Detalhes e leia a Impressão digital.
No PowerShell.
Execute isto na pasta do instalador (use o nome do ficheiro que descarregou):
Tem de imprimir exatamente a impressão digital SHA-1 da secção 2. Se imprimir outra
coisa, ou se o ficheiro não tiver assinatura ou mostrar o estado
HashMismatch, não execute o ficheiro e escreva para
support@catotrade.com. Enquanto o Windows não
confiar no nosso certificado, o estado da assinatura não é Valid (por
exemplo UnknownError); é o esperado e não é uma falha.
4. Opcional: confiar no nosso certificado no seu computador
Isto não é necessário para instalar ou usar o nosso software. Se quiser que o Windows
reconheça a nossa assinatura, confirme primeiro que o ficheiro descarregado é o nosso: o
comando seguinte tem de imprimir a mesma impressão digital SHA-1 da secção 2.
Isto faz o Windows confiar em tudo o que for assinado com este certificado, apenas para
a sua conta de utilizador. Para desfazer, remova o certificado:
Os nossos descarregamentos para macOS não são assinados nem notarizados pela Apple: não
temos uma conta de programador Apple. O macOS pede-lhe confirmação na primeira vez que
abrir a aplicação; o guia da aplicação explica os passos de
Abrir mesmo assim. Para confirmar que um descarregamento para macOS é o
que publicámos, compare a sua soma de verificação SHA-256 com a publicada com a versão,
por exemplo com shasum -a 256 <ficheiro> no Terminal.
