Zum Inhalt springen
authtoken

atok herunterladen

atok ist der Kommandozeilen-Client. Ein Befehl installiert ihn; die Archive und ihre Prüfsummen liegen hier für alle, die lieber nachsehen, bevor sie etwas ausführen.

Aktuelle Version v0.12.0

Mit einem Befehl installieren

Das Skript erkennt Ihre Plattform, liest die aktuelle Version, lädt das Archiv, prüft es gegen SHA256SUMS, bevor irgendetwas entpackt wird, und installiert nach ~/.local/bin. Es ruft nie sudo auf und ändert keine Startdatei Ihrer Shell — es gibt die PATH-Zeile zum Einfügen aus.

curl -fsSL https://authtoken.com/install.sh | sh

install.sh lesen, bevor Sie es ausführen

Um eine Version festzulegen oder woanders zu installieren:

curl -fsSL https://authtoken.com/install.sh | sh -s -- --version v0.12.0curl -fsSL https://authtoken.com/install.sh | sh -s -- --bin-dir /usr/local/bin

Oder selbst herunterladen und prüfen

Ein Skript in eine Shell zu pipen darf man ablehnen, und bei diesem Produkt ist dieser Leser der erwartete und nicht die Ausnahme. Diese Zeilen tun, was das Skript tut, ohne irgendetwas zwischen Ihnen und den Bytes.

curl -fsSLO https://authtoken.com/dl/v0.12.0/atok_v0.12.0_linux_amd64.tar.gzcurl -fsSLO https://authtoken.com/dl/v0.12.0/SHA256SUMSsha256sum --ignore-missing -c SHA256SUMStar -xzf atok_v0.12.0_linux_amd64.tar.gzinstall -m 0755 atok ~/.local/bin/atokatok version

--ignore-missing prüft genau das Archiv, das Sie geladen haben; SHA256SUMS listet alle vier. Setzen Sie Ihre Plattform ein.

Wogegen die Prüfsumme schützt — und wogegen nicht

Sie belegt

SHA256SUMS belegt, dass die Bytes, die Sie erhalten haben, die Bytes dieser Veröffentlichung sind. Das erkennt einen abgebrochenen Download, einen beschädigten Download und einen Spiegel, der das Archiv unterwegs verändert hat.

Sie belegt nicht

Es belegt nicht, woher die Veröffentlichung stammt. Wer diesen Ursprung kontrolliert, könnte ein verändertes Archiv zusammen mit einer dazu passenden SHA256SUMS ausliefern, und die Prüfung ginge durch. Eine Prüfsumme neben der Datei, die sie beschreibt, ist eine Integritätsprüfung und keine Signatur.

Also: Die Archive sind nicht code-signiert, und SHA256SUMS trägt keine Signatur. Auch die Release-Tags sind unsigniert, und die Artefakte zu signieren, während das Tag, aus dem sie gebaut sind, es nicht ist, würde keinen Angreifer aufhalten. Wenn sich das ändert, bekommen Tags und Artefakte einen gemeinsamen Schlüssel, nicht zwei.

Direkte Downloads

Jede veröffentlichte Version behält ihre eigene URL dauerhaft — hier wird nichts weggeräumt, damit eine einmal festgelegte Installation wiederholbar bleibt.

Windows

Das Zip enthält atok.exe, flach entpackt: Legen Sie es an eine Stelle in Ihrem PATH und starten Sie es aus PowerShell oder cmd. Rechnen Sie mit SmartScreen. Die Binärdatei ist nicht code-signiert, deshalb zeigt Windows beim ersten Start den blauen Hinweis „Der Computer wurde durch Windows geschützt“, und das Ausführen bedeutet: Weitere Informationen, dann Trotzdem ausführen. Es gibt keinen Installer und kein winget-Paket — das ist dieselbe Frage nach der unsignierten Binärdatei wie unter macOS, und sie ist noch nicht beantwortet.

macOS wird noch nicht gebaut

Es gibt kein darwin-Archiv, und das ist eine Entscheidung und kein ausstehender Upload. Eine unsignierte, nicht notarisierte Binärdatei wird von Gatekeeper aufgehalten und fragt nach jedem Update erneut nach Zugriff auf den Schlüsselbund, was schlechter ist als gar kein Build. Signierung und Notarisierung brauchen einen Apple-Entwickleraccount, den es noch nicht gibt. Sobald es ihn gibt, kommt macOS in die Liste oben; bis dahin bauen Sie es aus dem Quellcode.

Aus dem Quellcode bauen

Go 1.26 oder neuer — die Wrap-Schicht nutzt crypto/hpke aus der Standardbibliothek, neu in 1.26. Der Quellcode ist derzeit nicht öffentlich: Das Produkt ist in der Closed Beta und das Repository ebenso. Dieser Weg steht also denen offen, die bereits einen Checkout haben.

cd cli && go build -o atok ./cmd/authtoken

Eine so gebaute Binärdatei meldet als Version dev statt einer Release-Version. Genau daran unterscheiden install.sh und der Release-Build die beiden, und das ist Absicht: Ein Build ohne Stempel ist keine Veröffentlichung.