[Tutorial] Bago Mag-install ng Electrum: Paano Siguraduhing Legit

[Ziskinberg]

Sino dito ang download lang ng wallet and install agad?

Hangga't ma-verify from a legit website, download lang tayo and install.. alam ba natin na risky pa rin yon?
Pero since wallet ang pinag-uusapan dito, hindi rin masama na i-check muna natin kung yung file na na-download natin ay legit at hindi napalitan o na-modify.

Example nalang, itong Electrum, ginagamit ko ito and I believe marami rin sa inyo.

Official site:  https://electrum.org/

Step 1: Download muna ang Electrum installer

Make sure sa official website nila - https://electrum.org/#download

Then choose your OS, if Windows (which is mostly gamit natin)
ganito ang file:




But wait.. wag munang install agad, kasama rin sa download page ang signature file.
Usually ganito:



Kailangan mo i-download yan kasi gagamitin natin yan for verification


Step 2: Bakit may signature file?

The purpose is simple, ang mga developer kasi meron silang signing key para pirmahan ang software na nire-release nila. And tayo naman, syempre dapat may way rin tayo to verify na tama ang software na i-install natin, so we can check the file and make sure tugma sa pinirmahan nila. Reason na hindi magiging tugma is kung merong na-edit or nagpalit ng installer. so ang idea, hindi dahil tama ang file name, safe na.. (we need to verify).




Step 3: Install GPG

If Windows user ka, ang gagamitin mo ay Gpg4win.

https://www.gpg4win.org/

Libre ang Gpg4win, optional lang ang donation.




Install mo lang normally then after pwede ka nang gumamit ng GPG commands using your PC.


Step 4: Kunin ang public key ng signer

Meron kang installer and signature file, hindi pa yan sapat. may kulang pa, kailangan mo rin yung public key ng taong pumirma sa installer..
ito yung part na dapat careful tayo.

Sa Electrum download page, makikita mo yung names ng signers. Sa example natin, ginamit natin si ThomasV.

Click mo yung ThomasV para makuha yung public key niya.



Then save mo yung file as:

Code:

ThomasV.asc

Then open Kleopatra and click Import, then piliin yung `ThomasV.asc`.



But before you trust it, check mo muna ang fingerprint.


Step 5: Check the fingerprint

ito ang pinaka-importanteng part.

Sa Kleopatra, double-click mo yung imported key ni ThomasV para makita ang full fingerprint.

Then need mong i-compare ang fingerprint sa trusted source.

Sa case natin, ito yung fingerprint ni ThomasV:

Code:

6694 D8DE 7BE8 EE56 31BE D950 2BD5 824B 7F94 70E6

At ito rin ang makikita sa trusted source:



Siguro nagtatanong kayo, bakit nga ba kailangan ito?

Kasi possible ma-compromise ang website and pag nangyari yan, hindi lang installer, kundi pati signature and public key ang pwedeng mapalitan ng hacker.
So kung kukunin mo lang sa isang source, pwede kang malinlang, kaya mas maganda na yung fingerprint mismo ay i-check mo sa ibang source.


Step 6: Verify the installer

Ilagay sa isang folder ang installer and signature file.

Then open ka ng CMD prompt on the same folder.

Example:

Code:

gpg --verify electrum-4.8.2-setup.exe.asc electrum-4.8.2-setup.exe

Kung tama lahat makikita mo ang response na:

Code:

Good signature

Step 7: Ano ibig sabihin ng "Good signature"?

Ibig sabihin valid ang signature para sa file na na-check mo.

Pero may pero...(medyo complicated noh)

Hindi ibig sabihin na sapat na pag Good signature ang result. Dapat make sure mo rin na tama ang public key and fingerprint na gamit mo.
Kasi ganito mangyayari, if fake key ang na-import mo possible na fake signature ang lumabas sa fake file.

Sa example natin, nakita natin ang:

Code:

Good signature from "Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>"

At tugma rin yung fingerprint:

Code:

6694D8DE7BE8EE5631BED9502BD5824B7F9470E6

Possible din na may makita kang:

Code:

No public key

para sa ibang signatures. Hindi ibig sabihin na fake ang installer. Ibig sabihin lang hindi mo pa na-import yung public keys ng ibang signers.

Ang importante sa ginawa natin ay na-verify natin si ThomasV at tugma ang fingerprint niya sa trusted source.


Kapag "BAD signature" ang lumabas

Wag mong i-install.. Ulitin lang ang download, kasi if mali, malaking chance mawala ang balance natin.


Bakit hindi sapat ang checksum lang?

Actually useful naman ang SHA256 checksum to see if nagbago ang file. Pero kung compromised mismo ang source, pwede ring palitan ang checksum na naka-post doon. Ang signature verification ay mas useful dahil kailangan ng attacker ang legitimate private signing key para makagawa ng valid signature.


Final reminder

Madaling sabihin na wallet lang ang i-install natin pero once we use it for long term, or mayroon nang malaking funds na dito, ibang usapan na yan.

Kaya maganda i-habit natin, as we never know baka lumaki ang holdings natin if nasa Electrum lang.


Ito lang dapat

Download -> Verify -> Install


References / Credits:

Electrum Official Download and Verification Guide
How to verify your Electrum [Windows, Linux, Mac] by @bitdaric
[GUIDE] How to Safely Download and Verify Electrum by @DireWolfM14

[aioc]

Final reminder

Madaling sabihin na wallet lang ang i-install natin pero once we use it for long term, or mayroon nang malaking funds na dito, ibang usapan na yan.

Kaya maganda i-habit natin, as we never know baka lumaki ang holdings natin if nasa Electrum lang.

Maganda na mayroon tayong version na ganito sa Tagalog, para sa mga baguhang nagre-research ng tamang wallet na gagamitin sa pagtatago ng kanilang mga crypto assets.

Dapat matutunan agad ng mga baguhan ang pagtingin sa tamang wallet, katulad ng nasa instruction dito. Para sa mga baguhan, napakaimportante ang paggamit ng tamang wallet at ang pag-secure nito.

Marami pang klase ng pag-iingat sa mga assets, pero kung sapat ang kaalaman mo sa paggamit ng wallet at sa sarili mo makakaasa ka na hindi masasayang ang pagod mo sa pag-iimbak ng assets mo.

[Ziskinberg]

Maganda na mayroon tayong version na ganito sa Tagalog, para sa mga baguhang nagre-research ng tamang wallet na gagamitin sa pagtatago ng kanilang mga crypto assets.

Salamat kabayan, naisip ko lang kasi since marami tayong gumagamit ng electrum dito.
And for newbies, madali ang safe naman ang wallet na ito, as long as ma verifiy natin ng maayos.

may instance kasi na ganito before.

Electrum Bitcoin wallets under siege

By Adam Thomas and Jérôme Segura, with additional contributions from Vasilios Hioueras and S!Ri

Since at least late December 2018, many users of the popular Electrum Bitcoin wallet have fallen victim to a series of phishing attacks, which we estimate netted crooks well over 771 Bitcoins—an amount equivalent to approximately $4 million USD at current exchange rates.

Threat actors were able to trick users into downloading a malicious version of the wallet by exploiting a weakness in the Electrum software.

[julerz12]

Nice tutorial. Very detailed at well explained.
For newbies out there, if first time mo pa 'lang sa crypto and this wallet is your first choice, consider it as hot wallet. Read here to learn more about hot wallets. On a hot wallet, you have a higher risk of losing your crypto.
Don't get me wrong, pupwede gawing super secure and as a cold wallet itong Electrum, but it needs an advanced setup, like setting it as an air-gapped wallet or creating multi-sig setup (maraming tutorials about it online, though; just search them up). If may extra ka namang pera, it is always better to go with hardware wallets (which you could still pair with Electrum).

BTW, Electrum is available for smartphones, too. If you want to try that, make sure 'lang to download on the official download store ng iOS at sa Google Play Store. Don't bother using the ones from random sites na APK file mismo ang binibigay. 

[Ziskinberg]

Nice tutorial. Very detailed at well explained.

Thank you kabayan, sana makatulong to sa mga baguhan, kasi alam naman natin marami pa rin nabibiktima dahil sa kulang sa kaalaman.

[tech30338]

Sino dito ang download lang ng wallet and install agad?

Hangga't ma-verify from a legit website, download lang tayo and install.. alam ba natin na risky pa rin yon?
Pero since wallet ang pinag-uusapan dito, hindi rin masama na i-check muna natin kung yung file na na-download natin ay legit at hindi napalitan o na-modify.

Example nalang, itong Electrum, ginagamit ko ito and I believe marami rin sa inyo.

Official site:  https://electrum.org/

Step 1: Download muna ang Electrum installer

Make sure sa official website nila - https://electrum.org/#download

Then choose your OS, if Windows (which is mostly gamit natin)
ganito ang file:




But wait.. wag munang install agad, kasama rin sa download page ang signature file.
Usually ganito:



Kailangan mo i-download yan kasi gagamitin natin yan for verification


Step 2: Bakit may signature file?

The purpose is simple, ang mga developer kasi meron silang signing key para pirmahan ang software na nire-release nila. And tayo naman, syempre dapat may way rin tayo to verify na tama ang software na i-install natin, so we can check the file and make sure tugma sa pinirmahan nila. Reason na hindi magiging tugma is kung merong na-edit or nagpalit ng installer. so ang idea, hindi dahil tama ang file name, safe na.. (we need to verify).




Step 3: Install GPG

If Windows user ka, ang gagamitin mo ay Gpg4win.

https://www.gpg4win.org/

Libre ang Gpg4win, optional lang ang donation.




Install mo lang normally then after pwede ka nang gumamit ng GPG commands using your PC.


Step 4: Kunin ang public key ng signer

Meron kang installer and signature file, hindi pa yan sapat. may kulang pa, kailangan mo rin yung public key ng taong pumirma sa installer..
ito yung part na dapat careful tayo.

Sa Electrum download page, makikita mo yung names ng signers. Sa example natin, ginamit natin si ThomasV.

Click mo yung ThomasV para makuha yung public key niya.



Then save mo yung file as:

Code:

ThomasV.asc

Then open Kleopatra and click Import, then piliin yung `ThomasV.asc`.



But before you trust it, check mo muna ang fingerprint.


Step 5: Check the fingerprint

ito ang pinaka-importanteng part.

Sa Kleopatra, double-click mo yung imported key ni ThomasV para makita ang full fingerprint.

Then need mong i-compare ang fingerprint sa trusted source.

Sa case natin, ito yung fingerprint ni ThomasV:

Code:

6694 D8DE 7BE8 EE56 31BE D950 2BD5 824B 7F94 70E6

At ito rin ang makikita sa trusted source:



Siguro nagtatanong kayo, bakit nga ba kailangan ito?

Kasi possible ma-compromise ang website and pag nangyari yan, hindi lang installer, kundi pati signature and public key ang pwedeng mapalitan ng hacker.
So kung kukunin mo lang sa isang source, pwede kang malinlang, kaya mas maganda na yung fingerprint mismo ay i-check mo sa ibang source.


Step 6: Verify the installer

Ilagay sa isang folder ang installer and signature file.

Then open ka ng CMD prompt on the same folder.

Example:

Code:

gpg --verify electrum-4.8.2-setup.exe.asc electrum-4.8.2-setup.exe

Kung tama lahat makikita mo ang response na:

Code:

Good signature

Step 7: Ano ibig sabihin ng "Good signature"?

Ibig sabihin valid ang signature para sa file na na-check mo.

Pero may pero...(medyo complicated noh)

Hindi ibig sabihin na sapat na pag Good signature ang result. Dapat make sure mo rin na tama ang public key and fingerprint na gamit mo.
Kasi ganito mangyayari, if fake key ang na-import mo possible na fake signature ang lumabas sa fake file.

Sa example natin, nakita natin ang:

Code:

Good signature from "Thomas Voegtlin (https://electrum.org) <thomasv@electrum.org>"

At tugma rin yung fingerprint:

Code:

6694D8DE7BE8EE5631BED9502BD5824B7F9470E6

Possible din na may makita kang:

Code:

No public key

para sa ibang signatures. Hindi ibig sabihin na fake ang installer. Ibig sabihin lang hindi mo pa na-import yung public keys ng ibang signers.

Ang importante sa ginawa natin ay na-verify natin si ThomasV at tugma ang fingerprint niya sa trusted source.


Kapag "BAD signature" ang lumabas

Wag mong i-install.. Ulitin lang ang download, kasi if mali, malaking chance mawala ang balance natin.


Bakit hindi sapat ang checksum lang?

Actually useful naman ang SHA256 checksum to see if nagbago ang file. Pero kung compromised mismo ang source, pwede ring palitan ang checksum na naka-post doon. Ang signature verification ay mas useful dahil kailangan ng attacker ang legitimate private signing key para makagawa ng valid signature.


Final reminder

Madaling sabihin na wallet lang ang i-install natin pero once we use it for long term, or mayroon nang malaking funds na dito, ibang usapan na yan.

Kaya maganda i-habit natin, as we never know baka lumaki ang holdings natin if nasa Electrum lang.


Ito lang dapat

Download -> Verify -> Install


References / Credits:

Electrum Official Download and Verification Guide
How to verify your Electrum [Windows, Linux, Mac] by @bitdaric
[GUIDE] How to Safely Download and Verify Electrum by @DireWolfM14

salamat kabayan sa tutorial na ito, makakatulong ito sa mga bago at mga tao na masure na tama ang kanilang iniinstall na application, kalimitan kasi may mga fake links na may nagppost kung halimbawa na nghahanap sila, dahil sa akala nila tama ang link, nagkakamali sila at maaring mawala ang kanilang pera sa maling paginstall, dahil dito masisiguro nila safe at ligtas ang application na kanilang nainstall sa system maiiwasan din minsan ang pagkainstall kasama ng app, ng malicious applications, or malware sa kanilang system na maari namang pagmulan ng ransomware at maheld sila as hostage, at erequire sila na magbayad dahil sa mga files nila na nalock.

[Peanutswar]

Salamat sa detailed na ito para sa mga bagong users natin na gusto gumamit ng electrum, actually medyo na overhwhelmed ako sa dami ng process kasi before ang ginawa ko lang talaga is mag direct ng punta sa mismong website nila tapos install lang ako ng installer tapos configuration lang ng password, seed and ayun na check lang din ng mga address at mga configuration sa fees na para mas maayos tignan kaya medyo nagulat ako na may checking for PGP signatures din pala na ginagawa.

BTW, Electrum is available for smartphones, too. If you want to try that, make sure 'lang to download on the official download store ng iOS at sa Google Play Store. Don't bother using the ones from random sites na APK file mismo ang binibigay. 

For newbies na wala pang PC or even budget is available ang Electrum sa Phones nyo which is good if you wanted to start having a DCA strategy right now with small amount lang. I used be like that din when I was starting and syempre goods na makita mo yung DCA mo in your wallet not in exchange syempre.

[Questat]

Nice tutorial kabayan, halatang pinagpaguran talaga. Although hindi na ako newbie dito, na-amaze ako na meron pa palang ganitong klase ng way para masigurado na hindi ma-compromise ang wallet mo. Maganda ito, hindi lang newbies ang natututo dito kundi pati mga old users na kagaya ko.

Guilty ako sa sinabi mo na basta nasa legitimate website, download at install na lang agad.

Thanks for reminding us with this post. (+1)

[Asuspawer09]

Ayos itong tutorial mo kabayan, medjo hindi lang ako pamilyar dito sa way na ito pero susubukan ko sundan itong guide mo para maverify ang Electrum ko.

Madalas kase noong nagiinstall ako sa computer o desktop ko basta download ko lang sa website ng Electrum okey na, sinisigurado ko lang na yun talaga yung pinaka website ng Electrum checheck ko ung pinaka URL and after nun usually okey na saken since sure naman ako sa URL, or madalas naman kinukuha ko ung pinaka link dito sa forum.

[GUIDE] How to Safely Download and Verify Electrum [Guide]

Madalas dito ko kiniclick ang link since nakasave na rin naman itong guide na ito sa bookmark ko, pero isa talaga sa pinaka worst na mangyari or possible na way para macompromised ang mga wallet is madownload mo ang Electrum sa maling website meaning hindi Electrum talaga ang na download mo, kaya masokey na maverify at masigurado na tama.