Zum Inhalt springen
authtoken

atok herunterladen

atok ist der Kommandozeilen-Client. Ein Befehl installiert ihn; die Archive und ihre Prüfsummen liegen hier für alle, die lieber nachsehen, bevor sie etwas ausführen.

Aktuelle Version v0.20.1

Mit einem Befehl installieren

Das Skript erkennt Ihre Plattform, liest die aktuelle Version, lädt das Archiv, prüft es gegen SHA256SUMS, bevor irgendetwas entpackt wird, und installiert nach ~/.local/bin. Es ruft nie sudo auf und ändert keine Startdatei Ihrer Shell — es gibt die PATH-Zeile zum Einfügen aus.

curl -fsSL https://authtoken.com/install.sh | sh

install.sh lesen, bevor Sie es ausführen

Um eine Version festzulegen oder woanders zu installieren:

curl -fsSL https://authtoken.com/install.sh | sh -s -- --version v0.20.1curl -fsSL https://authtoken.com/install.sh | sh -s -- --bin-dir /usr/local/bin

Oder selbst herunterladen und prüfen

Ein Skript in eine Shell zu pipen darf man ablehnen, und bei diesem Produkt ist dieser Leser der erwartete und nicht die Ausnahme. Diese Zeilen tun, was das Skript tut, ohne irgendetwas zwischen Ihnen und den Bytes.

curl -fsSLO https://authtoken.com/dl/v0.20.1/atok_v0.20.1_linux_amd64.tar.gzcurl -fsSLO https://authtoken.com/dl/v0.20.1/SHA256SUMSsha256sum --ignore-missing -c SHA256SUMStar -xzf atok_v0.20.1_linux_amd64.tar.gzinstall -m 0755 atok ~/.local/bin/atokatok version

--ignore-missing prüft genau das Archiv, das Sie geladen haben; SHA256SUMS listet alle vier. Setzen Sie Ihre Plattform ein.

Wogegen die Prüfsumme schützt — und wogegen nicht

Sie belegt

SHA256SUMS belegt, dass die Bytes, die Sie erhalten haben, die Bytes dieser Veröffentlichung sind. Das erkennt einen abgebrochenen Download, einen beschädigten Download und einen Spiegel, der das Archiv unterwegs verändert hat.

Sie belegt nicht

Es belegt nicht, woher die Veröffentlichung stammt. Wer diesen Ursprung kontrolliert, könnte ein verändertes Archiv zusammen mit einer dazu passenden SHA256SUMS ausliefern, und die Prüfung ginge durch. Eine Prüfsumme neben der Datei, die sie beschreibt, ist eine Integritätsprüfung und keine Signatur.

Also: Die Archive sind nicht code-signiert. Releases bis einschließlich v0.16.0 haben die Prüfsumme und nichts weiter. Jedes Release nach v0.16.0 veröffentlicht zusätzlich SHA256SUMS.sig, eine SSH-Signatur über SHA256SUMS mit demselben Schlüssel, der sein Release-Tag signiert, und install.sh prüft sie mit dem öffentlichen Schlüssel, den es mitbringt, sofern ein ssh-keygen, das prüfen kann (OpenSSH 8.1 oder neuer), auf dem Rechner ist, und lehnt ein Release ab, dem sie fehlt, obwohl es eine haben müsste; ohne eines sagt es das und prüft nur die Prüfsumme. Diese Signatur verlagert das Vertrauen von diesem Ursprung auf diesen Schlüssel. install.sh selbst deckt sie nicht ab, denn es kommt vom selben Ursprung: Es ist so vertrauenswürdig wie die Kopie, die Sie ausgeführt haben.

Direkte Downloads

Jede veröffentlichte Version behält ihre eigene URL dauerhaft — hier wird nichts weggeräumt, damit eine einmal festgelegte Installation wiederholbar bleibt.

Windows

Das Zip enthält atok.exe, flach entpackt: Legen Sie es an eine Stelle in Ihrem PATH und starten Sie es aus PowerShell oder cmd. Rechnen Sie mit SmartScreen. Die Binärdatei ist nicht code-signiert, deshalb zeigt Windows beim ersten Start den blauen Hinweis „Der Computer wurde durch Windows geschützt“, und das Ausführen bedeutet: Weitere Informationen, dann Trotzdem ausführen. Es gibt keinen Installer und kein winget-Paket — das ist dieselbe Frage nach der unsignierten Binärdatei wie unter macOS, und sie ist noch nicht beantwortet.

macOS wird noch nicht gebaut

Es gibt kein darwin-Archiv, und das ist eine Entscheidung und kein ausstehender Upload. Eine unsignierte, nicht notarisierte Binärdatei wird von Gatekeeper aufgehalten und fragt nach jedem Update erneut nach Zugriff auf den Schlüsselbund, was schlechter ist als gar kein Build. Signierung und Notarisierung brauchen einen Apple-Entwickleraccount, den es noch nicht gibt. Sobald es ihn gibt, kommt macOS in die Liste oben; bis dahin bauen Sie es aus dem Quellcode.