在收到易翻译下载包后，立即通过操作系统自带或常用工具查看数字签名和证书信息，核对发布者名称、签名时间戳、证书颁发机构和证书指纹，并与官方渠道公布的信息逐项比对，如发现不一致或证书链异常，应停止执行并联系官方验证以确保软件来源可信。
易翻译：如何在常见操作系统查看下载包的数字签名？
在 Windows 上查看可执行文件的数字签名并检查证书详情
- 核验签名：在 Windows 资源管理器中右键点击可执行文件选择“属性”，进入“数字签名”页签，查看列出的签名者名称，点击“详细信息”查看证书颁发机构、有效期及证书指纹，逐项比对易翻译官方公布的发布者信息和指纹以确认一致性。
- 检查时间戳：在签名详细信息中查找“时间戳”信息以确认签名在证书有效期内完成，若无时间戳或时间戳显示签名时间在证书过期之后，应视为异常并暂停安装，同时联系易翻译官方核实。
- 验证证书链：点击证书查看证书路径，确认根证书和中间证书由受信任的证书颁发机构签发，确保证书链完整且未被吊销，若证书链断裂或包含未知颁发机构，应将安装行为中止并报告易翻译官方。
在 macOS 上用 Finder 或终端验证下载包的签名与发布者身份
- 使用 Finder 验证：在 Finder 中选中文件按空格预览或右键“显示简介”查看信息，若为应用包，双击尝试打开时系统会提示签名信息，注意弹窗中显示的开发者名称是否为“易翻译”或官方登记的发行者名称，以此判断发布者真实性。
- 使用终端工具 codesign：在终端运行 sudo codesign -dv –verbose=4 /路径/到/应用 ，查看 Authority 字段和签名时间戳，并对比证书指纹或开发者 ID 与易翻译官方公布记录，若出现不匹配应停止使用并联系官方。
- 检查 Gatekeeper 报告：尝试打开应用若被 macOS 阻止，打开“系统偏好设置→安全性与隐私”查看被阻止的应用信息，记录显示的开发者名称及原因，必要时将相关信息提交给易翻译官方进行进一步核验。
在 Linux 环境使用 GPG 或 OpenSSL 检验签名与包完整性
- 使用 GPG 验签：若易翻译提供 GPG 签名，下载 .asc 或 .sig 文件后使用 gpg –verify 文件.sig 文件.tar.gz 验证签名，确认签名者的公钥指纹与易翻译官方公布的公钥指纹一致，且签名状态显示为“Good signature”。
- 使用 OpenSSL 检查证书：若是带有 PKCS#7 签名或 X.509 证书，使用 openssl pkcs7 -in signature.p7s -print_certs -text 查看证书详情，核对颁发机构、有效期和指纹信息，并与官方记录比对一致性。
- 比较校验和：即使签名通过，也应同时核对 SHA256 或 SHA512 校验和，使用 sha256sum 或 sha512sum 计算后与易翻译官方公布的哈希值比对，双重校验能降低被篡改或替换的风险。
易翻译：如何使用证书管理工具核验发布者信息？
导出并查看证书指纹以对照易翻译官方发布信息
- 导出证书：在操作系统或证书管理工具中导出文件对应的签名证书（通常为 DER 或 PEM 格式），然后使用 openssl x509 -in cert.pem -noout -fingerprint -sha256 获得 SHA256 指纹，与易翻译官网或官方渠道提供的指纹逐字比对确保一致。
- 核对颁发机构信息：在证书详情中读取 Issuer（颁发者）字段，确认证书是由知名 CA 颁发且证书未被吊销，如发现颁发者为不明组织或自签名证书，应格外谨慎并向易翻译官方求证证书合法性。
- 检查证书有效期与吊销列表：确认证书的起止日期覆盖签名时间，并通过 CRL 或 OCSP 查询证书是否被吊销，使用 openssl ocsp 或访问 CA 提供的在线查询接口验证证书状态，任何不良状态都应停止使用该软件包。
在 Windows 证书管理器中定位并验证签名证书链
- 打开证书管理器：运行 certmgr.msc 或在证书详细信息中点击“查看证书”进入证书管理器，检查签名证书在“受信任的根证书颁发机构”和“中间证书颁发机构”中的存在与链路完整性，确保证书链没有被篡改。
- 比较证书序列号：在证书详细信息中读取序列号和指纹，并与易翻译官方公布的信息逐项对比，序列号或指纹差异通常意味着证书不是官方签发或已被替换，需停止安装并上报。
- 使用证书导出再验证：将证书导出为 CER 文件后使用 openssl 或在线工具再次解析证书字段，确保本地工具与证书管理器显示信息一致，任何不一致都提示可能存在安全问题需进一步核实。
易翻译：如何在浏览器或压缩包中验证文件完整性与签名？
在浏览器下载页面核对签名和校验和信息
- 核对官方下载页面：访问易翻译官方网站或官方发布渠道，查找下载链接旁的签名文件、校验和或公钥指纹信息，确保下载源为官方域名并通过 HTTPS 访问，避免从第三方站点复制的可疑链接下载。
- 比对哈希值：下载后使用系统命令计算文件的 SHA256 或 SHA512 值，并与官网公布的哈希字符串逐字比对，任何一个字符不同都表明文件可能被篡改，不应继续安装或执行。
- 验证签名文件：如果官网同时提供签名文件（如 .sig 或 .asc），在导入或使用官方公钥后运行数字签名验证命令，确保签名者为易翻译官方账户且签名验证结果显示为有效。
在压缩包中查找并验证嵌入的签名与附带证书
- 解压并查看签名文件：将下载的压缩包解压，查找 README、SIGNATURE、.sig 或 .asc 等签名相关文件，使用易翻译公布的公钥对签名文件进行验证，确保压缩包内部组件未被篡改。
- 检查包含的证书：有些压缩包会附带证书文件或说明文档，打开证书文件并核对颁发日期、颁发机构和指纹，若附带证书与官网证书不符则可能为伪造，应避免执行包内程序。
- 验证多平台一致性：对不同平台的压缩包或安装包分别计算校验和并比对官网公布的对应平台哈希值，确认不同压缩格式或镜像之间信息一致，防止镜像替换或分发渠道被劫持。
易翻译：如何判断数字签名是否可信与证书链的正确性？
确认签名的时间戳以判定签名行为是否合法
- 查找时间戳记录：在签名详细信息中找到时间戳（Timestamp）字段，确认签名发生的时间点是否在证书有效期内，若签名时间在证书到期之后或无时间戳，则签名可信度会下降，需要进一步向易翻译官方核实情况。
- 验证时间戳来源：时间戳通常由受信任的时间戳服务（TSA）提供，检查时间戳是否来自知名 TSA 并且时间戳签名本身未被篡改，这能防止攻击者在证书过期后伪造早期签名记录。
- 评估签名历史：对比历史发布包的签名者信息与此次签名信息是否一致，若突然出现不同的签名者或新的证书，需谨慎并联系易翻译官方确认是否更换签名证书或团队变更。
通过证书链与吊销状态判断签名是否被信任
- 检查证书链完整性：从签名证书向上检查中间证书直到根证书，确认链中每一环节都是由受信任的 CA 签发且链条没有断裂，若存在自签名或未知中间 CA，签名的可信度会显著降低。
- 查询吊销信息：通过 OCSP 或 CRL 查询签名证书和中间证书是否被吊销，任何吊销记录都应被高度重视并立即停止使用该签名对应的软件包，然后联系易翻译官方获取替代版本或进一步说明。
- 利用多方信任判断：结合操作系统、浏览器和独立工具的证书信任判断结果，如果多个信任来源均显示证书有效且签名正常，则可信度高；若存在分歧，优先以易翻译官方声明为准并求证。
易翻译：如何在易翻译发布渠道核对发布者信息与官方签名？
从易翻译官网和官方社交渠道获取并验证签名公钥与指纹
- 获取官方公钥：优先从易翻译官网的安全或下载页面获取公钥、指纹或签名说明，不要采用论坛或第三方镜像上的公钥，以确保用于验证签名的公钥来源可信且未被篡改。
- 比对指纹与文档：将从下载包中导出的证书指纹与官网公布的指纹逐字比对，还可在官方社交媒体或邮件订阅中查找发布声明以确认公钥或证书更新记录，任何不一致都需谨慎处理。
- 核查版本发布记录：参考易翻译的发行说明或变更日志中关于签名证书更替、时间戳或发布流程的说明，确认当前下载包的签名方式和公钥版本与官方发布历史相符，异常情况主动联系官方支持。
联系易翻译官方支持以核实可疑签名或发布者变更
- 收集证据：在发现签名信息异常时，保存下载包、签名文件、证书导出数据和校验和记录，并截取官网或下载页面的相关信息，以便向易翻译官方提供完整证据供安全团队分析。
- 使用官方渠道联系：通过易翻译官网公布的客服、技术支持邮箱或企业帐号提交核验请求，避免在非官方社交平台求证，从官方处获取正式声明和核验结果以判断是否继续使用该包。
- 遵循官方反馈指引：根据易翻译官方安全团队的反馈采取相应措施，例如替换为官方确认的发布包、撤回已安装版本或等待签名证书更新，并保留沟通记录以备后续审计使用。
常见问题（FAQ）
如何确认我看到的发布者名称真的是易翻译官方？
优先从易翻译官网获取官方发布者名称与签名公钥信息，并核对可执行文件或安装包签名中的发布者字段和证书指纹；必要时向官方客服提交签名证书详情让安全团队核实。
如果签名缺少时间戳我还能信任该签名吗？
缺少时间戳意味着无法证明签名是在证书有效期内完成，可信度下降，应谨慎处理并联系易翻译官方确认签名来源或等待重新签名的官方版本。
我在第三方镜像上下载了易翻译的包，如何保证安全？
即使来自镜像，也必须比对哈希值和数字签名与易翻译官网公布的值一致才可信任；如果镜像不提供签名或哈希，优先从官网或官方认可的镜像下载。
发现签名或证书异常后我应该怎么做？
停止安装或运行该软件，保留下载文件与签名证据，立即联系易翻译官方安全支持提交证据，按照官方指引处理并避免在未确认安全前继续使用。
