Bezpieczeństwo i przejrzystość

Bieżące wydanie

Pliki i sumy SHA-256

Lista plików bieżącego wydania: instalator launchera i paczki aktualizacji. Przy każdym pliku jest jego suma SHA-256, wynik skanu ClamAV i stan podpisu kodu. Zawartość instalatora i paczek jest rozpakowywana i skanowana plik po pliku.

Skan przy wydaniu

Skan wykonuje automat wydań przed publikacją, na tych samych plikach, które trafiają do pobrania. Używamy niezmienionego ClamAV z oficjalną bazą sygnatur, pobraną tuż przed skanem. Wykrycie, niepełny skan albo niedostępny skaner wstrzymują publikację, chyba że wynik zostanie przeanalizowany i potwierdzony z pisemnym uzasadnieniem. Potwierdzenie nie ukrywa wyniku: wykrycie i jego uzasadnienie zostają w opublikowanych danych.

Skanuj teraz

Pliki bieżącego wydania są skanowane ponownie po każdym wydaniu i co 6 godzin, gdy zmieni się wydanie albo baza sygnatur (co najmniej raz na dobę). Przyciskiem możesz poprosić o skan od razu. Skan wykonuje automat GitHub Actions: pobiera pliki z GitHuba, sprawdza ich sumy SHA-256 z podpisanym security.json i skanuje je demonem ClamAV z aktualną bazą. Wynik jest publikowany w wydaniu jako security-scan.json, a strona tylko go wyświetla. Pełny skan trwa kilka do kilkunastu minut.

Jak sprawdzić pliki samodzielnie?

Nie musisz wierzyć tej stronie na słowo. Pobierz plik i porównaj jego sumę SHA-256 z listą wyżej. Pliki security.json i security.json.sig znajdziesz w wydaniu na GitHubie. Podpis security.json możesz sprawdzić naszym kluczem publicznym (Ed25519): podpisane są bajty THSECURITY1 + znak nowej linii + dokładna zawartość pliku.

# suma SHA-256 pobranego pliku (porównaj z listą wyżej)
Get-FileHash .\TrilogyHub-Setup.exe -Algorithm SHA256

# podpis Authenticode (gdy wydanie jest podpisane)
Get-AuthenticodeSignature .\TrilogyHub-Setup.exe | Format-List Status, StatusMessage, SignerCertificate, TimeStamperCertificate

# podpis security.json (Git Bash, Linux, macOS; OpenSSL 3)
echo "MCowBQYDK2VwAyEAZxrFZtgT4mBZBa599fvMiQn3ptdyzwrdukFgDrmDc3s=" | openssl base64 -d -A > th-release.der
printf 'THSECURITY1\n' > signed.bin && cat security.json >> signed.bin
openssl base64 -d -A -in security.json.sig -out security.sig.bin
openssl pkeyutl -verify -pubin -inkey th-release.der -keyform DER -rawin -in signed.bin -sigfile security.sig.bin

# suma SHA-256 pliku
sha256sum TrilogyHub-Setup.exe

node -e "const c=require('crypto'),f=require('fs');const k=c.createPublicKey({key:Buffer.from('MCowBQYDK2VwAyEAZxrFZtgT4mBZBa599fvMiQn3ptdyzwrdukFgDrmDc3s=','base64'),format:'der',type:'spki'});console.log(c.verify(null,Buffer.concat([Buffer.from('THSECURITY1\n'),f.readFileSync('security.json')]),k,Buffer.from(f.readFileSync('security.json.sig','utf8').trim(),'base64'))?'OK':'INVALID')"

Możesz też przeskanować plik własnym antywirusem albo własną instalacją ClamAV (clamscan TrilogyHub-Setup.exe). Wynik może się różnić, jeśli używasz innej wersji bazy sygnatur.

Podpis kodu

Podpis cyfrowy Authenticode pozwala Windows sprawdzić, kto wydał plik i czy nie został zmieniony po podpisaniu. Gdy certyfikat jest skonfigurowany, pliki wykonywalne podpisujemy w automacie wydań: skrót pliku SHA-256, znacznik czasu RFC 3161 SHA-256 i weryfikacja podpisu zaraz po podpisaniu. Klucz prywatny nie jest przechowywany w repozytorium ani na stronie. Podpis potwierdza wydawcę i integralność pliku, ale nie mówi nic o tym, czy program jest bezpieczny.

Biblioteki innych firm, dołączone bez zmian (na przykład składniki Microsoft), zachowują podpis swojego wydawcy. Na liście wyżej widać to w kolumnie z podpisem.

Dlaczego antywirus może oznaczyć launcher?

Trilogy Hub dodaje multiplayer do gry, która go nie ma. Żeby to działało, robi rzeczy, które programy antywirusowe obserwują szczególnie uważnie:

• Wstrzykiwanie biblioteki DLL - multiplayer działa jako biblioteka ładowana do procesu gry. Tę samą technikę wykorzystuje część złośliwego oprogramowania, więc heurystyki antywirusów reagują na sam sposób działania.
• Anticheat - ochrona przed oszustami sprawdza pamięć i moduły gry, wykrywa debugery i narzędzia do zrzucania pamięci. Takie zachowanie bywa oceniane jak zachowanie programu szpiegującego.
• Własne aktualizacje - launcher sam pobiera i podmienia pliki klienta (każda paczka jest podpisana i sprawdzana przed instalacją).
• Nowe, rzadko spotykane pliki - każde wydanie ma nowe pliki, których reputacja w bazach antywirusów dopiero się buduje. Do tego, dopóki nie ma certyfikatu, pliki nie mają podpisu wydawcy.

Każde wykrycie analizujemy osobno. To, że dana funkcja jest potrzebna, nie oznacza automatycznie, że wykrycie jest fałszywe. Przykład z października 2026: podczas skanu launchera ClamAV zgłosił sygnatury Win.Trojan.Virut-70 i Win.Trojan.Virut-265 w dwóch plikach launchera. Sprawdziliśmy, że ten sam wynik daje oficjalny, niezmieniony plik electron.exe z Electron 44.5.1 (zgodny z sumą SHA-256 opublikowaną przez projekt Electron). Pasujący fragment leży w zwykłym kodzie programu, a punkt wejścia pliku jest niezmieniony, co nie pasuje do infekcji wirusem Virut, który dopisuje się do plików i przejmuje ich uruchamianie. Wykrycie zostało więc potwierdzone jako fałszywy alarm, a jego opis, uzasadnienie i termin ważności są widoczne w danych wydania wyżej.

Jeśli Twój antywirus zgłasza plik Trilogy Hub, porównaj jego sumę SHA-256 z tą stroną i napisz do nas na Discordzie albo na forum: podaj nazwę antywirusa i nazwę wykrycia.

Oświadczenie