Tor Signatur Prüfen und RSA key

Fragen
1

Ich habe mir Tor runtergeladen und habe dann die Signatur geprüft.
Alles ist korrekt gewesen. Außer im aller letzten Schritt, da bekomme ich zwar die Nachricht Korrekte Signatur, aber der RSA key ist ein völlig anderer als auf der Website von Tor.
Ist das Ok so oder stimmt da was nicht?

Lg. Officer.P :innocent:

2

Gut, dass du nachfragst. Meiner Meinung nach ist es in so einem Fall fast immer ein Bedienfehler, aber ich würde das Risiko nicht eingehen und immer so lange den Fehler suchen, bis er gefunden ist. Das ist mühsam, aber man lernt dabei für den Ernstfall. Ich habe mir zur Angewohnheit gemacht jede Software (zumindest sicherheitskritische) genau zu prüfen.

Redest du vom Tor Browser?
Hier ist die offizielle Anleitung:

Dort gibt es eigentlich nur GPG-Signaturen. Was ist genau der Fehler?

3

Auf Reddit gefunden:

tldr: yes the different signing key is ok here.

Both E53D989A9E2D47BF and EB774491D9FF06E2 are currently valid signing keys associated with the ‚main‘ 0xEF6E286DDA85EA2A4BA7DE684E2C6E8793298290 key published on the tor site.

It’s easier to rotate out keys when structured this way.

The signing key EB774491D9FF06E2 is close to expiration, so it is expected to see it being phased out for the newer key ahead of its expiration date.
Link