最も信頼できるサイトからファイルをダウンロードするとき、ダウンロードしたファイルが公開したものと同じであることを認証するために使用できるファイルのハッシュを提供します（または、これが間違っている場合は、修正してください！）
私の質問は、あなたがサイト上のファイルを変更できるハッカーだった場合、新しい「変更された」値を反映するようにハッシュ値を公開したそのサイトのページも変更できませんか？もしそうなら、それはどのような追加のセキュリティを提供しますか？そうでない場合は、なぜですか？または...私はそれがすべてどのように機能するかについて明白な何かを見逃しているだけですか？
重要なのは、保護している攻撃ベクトルです。
メインサーバーに違反している人
誰かがメインサーバーにアクセスできる場合は、ハッシュを書き換えて有効に見えるようにすることができます（したがって、行かないでください）。
したがって、ハッシュはメインサーバーの侵害に対する保護を提供しません。
誰かがミラーサーバーを侵害している
ハッシュがメインサーバー上にあると仮定すると、変更を検出できるため、誰かがミラーを侵害することに対する防御層を追加できます。
接続中の誰かMITM
誰かが接続をMITMできる場合は、ファイルとハッシュの両方を変更できます。
だから、それはあなたをそこに全く保護しません。
TCP接続のビットエラー
これは、ファイルをハッシュすることの主な利点です。以前は、エラーチェックが現在ほど良くなかった場合、100 MBのファイルをダウンロードすると、ランダムなビットエラーが発生していました。を使用するmd5sumと、これらのエラーをすばやく検出して、ファイルを再ダウンロードできます。
ハッシュが適しているのはこれだけです。ダウンロードしたものがサーバー上にあったものであることを整合性チェックします。
セキュリティが必要な場合は、信頼できる秘密鍵（GPG）からの署名が必要です。ほとんどの場合、ハッシュはセキュリティに何の影響も及ぼしません。
この記事はインターネットから収集されたものであり、転載の際にはソースを示してください。
侵害の場合は、連絡してください[email protected]
コメントを追加