Ich habe eine große Anzahl von Dateien heruntergeladen, aber vor kurzem die Verwendung von md5 und sha als Integritätsprüfer entdeckt. Von da an bevorzuge ich es immer, nach großen heruntergeladenen Dateien zu suchen, auch wenn ich nie festgestellt habe, dass sie beschädigt sind.
Müssen wir wirklich die Integrität der heruntergeladenen Dateien überprüfen?
Wählen Sie als Beispiel eine Linux-Distribution aus, die ich gerade heruntergeladen habe, dh 1 GB, wenn Sie möchten.
Vielen Dank
Antworten:
Es hängt von einigen Faktoren ab.
Haben Sie eine stabile Internetverbindung?
Wenn Sie über eine stabile Internetverbindung verfügen, müssen Sie die Integrität der Datei nicht überprüfen, da sie höchstwahrscheinlich korrekt ist. Ich überprüfe nie den Hash und hatte auch nie beschädigte Dateien. Oder vielleicht einmal, wenn der Remote-Server die Verbindung getrennt hat.
Möchten Sie die Datei aus Sicherheitsgründen überprüfen?
Wenn Sie sich Sorgen über die Sicherheit der heruntergeladenen Datei machen, können Sie mithilfe des MD5-Hashs überprüfen, ob die Datei nicht geändert wurde. Sie laden eine Datei herunter und wenn der MD5-Hash nicht übereinstimmt, bedeutet dies, dass sich die Datei auf dem Server vom MD5-Hash unterscheidet und irgendwie etwas nicht stimmt. Dies ist nur gültig, wenn Sie dem Server, von dem Sie herunterladen, nicht vertrauen. Wenn jedoch jemand einen Hash bereitstellt, versucht er normalerweise auch, die Dinge auf dem neuesten Stand zu halten. Aber wenn ihre Seite gehackt wurde und Sie den MD5-Hash überprüft haben, haben Sie den kleinen Bonus erhalten.
Insgesamt werden diese 2 den meisten Menschen ein Nein geben. Wenn es ein Nein für Sie ist, liegt das natürlich ganz bei Ihnen.
quelle
Die Antwort und Auswahl, die man trifft, basiert auf seiner Risikotoleranz und den Überlegungen zu Zeit und Aufwand bei der Überprüfung.
Das Überprüfen von MD5 / SHA1-Hashes ist ein guter erster Schritt, und Sie sollten dies tun, wenn Sie Zeit haben. Sie müssen jedoch Ihre Fähigkeit berücksichtigen, dem bereitgestellten Hash zu vertrauen. Wenn beispielsweise die Website des Autors mit dem Hash gehackt wird, kann der Angreifer den Hash ändern, sodass Sie es nicht wissen. Wenn der von Ihnen berechnete Hash nicht mit dem bereitgestellten Hash übereinstimmt, wissen Sie, dass etwas nicht stimmt. Nur weil die Hashes übereinstimmen, ist die Datei jedoch nicht garantiert.
Eine bessere Alternative für einen Software-Autor, um Integrität und Authentizität bereitzustellen, besteht darin , die verteilten Dateien digital zu signieren . Dadurch werden die Authentizitätsinformationen an die Datei angehängt, und es ist nicht erforderlich, einer Website zu vertrauen. Wenn ein Autor die Datei digital signiert, kann dies nur durch eine kompromittierte Zertifizierungsstelle gefälscht werden, oder wenn der Signaturschlüssel des Entwicklers gestohlen wurde. Beide Fälle sind weitaus weniger wahrscheinlich als das Hacken einer Website im Internet.
Letztendlich müssen Sie Ihre eigene Due Diligence durchführen, um festzustellen, ob Sie etwas vertrauen möchten, und dann Gegenmaßnahmen ergreifen (in einer Sandbox, einer virtuellen Maschine usw. ausführen), um unbekannte Faktoren oder Fehleinschätzungen zu mindern, die Sie bei der Entscheidung, ob Sie vertrauen oder nicht, vorgenommen haben .
quelle
Aus Sicherheitsgründen JA. Bedenken Sie, dass bei einem Tor-Exit-Knoten beim Herunterladen Binärdateien gepatcht wurden , und denken Sie daran, dass Ihr ISP möglicherweise die geringste Moral hat oder nicht und dass er die vollständige Kontrolle über Ihre Internetverbindung hat.
quelle
Nur um die anderen Antworten zu ergänzen:
TLDR: Für Dateien, bei denen Integrität von entscheidender Bedeutung ist, ja
Lange Antwort: Ich finde es oft notwendig, wenn ich etwas tue, bei dem es wichtig ist, dass die Datei eine hohe Integrität aufweist.
Ein Beispiel ist das Flashen eines Routers mit OpenWRT. Wenn die Datei beschädigt ist, würde dieser Router zugemauert sein, und dann müsste ich entweder:
Beides ist unpraktisch im Vergleich zu der Einfachheit, einen Hash zu überprüfen. Daher würde ich dringend empfehlen, dies für kritische Dateien zu tun.
quelle
Normalerweise überprüfe ich nur, ob mein Download unterbrochen wurde, und habe ihn später wieder aufgenommen, da HTTP-Anforderungen mit einem Suchoffset nicht so häufig verwendet werden, sodass möglicherweise etwas Dummes passiert ist.
In vielen Fällen handelt es sich beim Download um eine komprimierte Datei, die nicht dekomprimiert wird, wenn sie beschädigt ist. Wenn dies NICHT der Fall ist, ist die Überprüfung keine schlechte Idee. Ich kann eine ISO überprüfen, bevor ich sie auf einmal beschreibbare Medien brenne.
Die Überprüfung mit einem Hash von derselben Site, von der ich es erhalten habe, ist aus Sicherheitsgründen wenig hilfreich, wie andere Antworten und Kommentare bereits sagten. Es kann nützlicher sein, wenn Sie von einem Spiegel heruntergeladen haben, der Hash jedoch vom ursprünglichen Upstream stammt. Oder wenn der Dateiname nicht eindeutig ist und Sie aus irgendeinem Grund nicht sicher sind, ob Sie genau die gewünschte Version haben.
Der Punkt ist, dass das Veröffentlichen von Hashes für viele andere Sonderfälle nützlich ist, als nur das Herunterladen der Datei von derselben Site, auf der sich der Hash befindet.
quelle