Checksum MD5 dan SHA1 digunakan untuk mengunduh

Saya perhatikan bahwa ketika mengunduh banyak alat sumber terbuka (Eclipse, dll.) Ada tautan untuk checksum MD5 dan SHA1, dan tidak tahu apa ini atau apa tujuannya.

Saya tahu ini adalah algoritma hashing, dan saya mengerti hashing, jadi saya hanya menebak bahwa ini digunakan untuk hashing beberapa komponen target unduhan, dan membandingkannya dengan string hash "resmi" yang disimpan di sisi server. Mungkin dengan cara itu dapat ditentukan apakah target telah dimodifikasi dari versi yang benar (untuk keamanan dan tujuan lain).

Apakah saya menutup atau sepenuhnya salah, dan jika salah, apa itu?!?!

Terima kasih!

Anda hampir sepenuhnya benar. Satu-satunya koreksi adalah bahwa mereka adalah hash dari seluruh file.

Terkadang, file dapat rusak selama unduhan dengan cara apa pun yang digunakan untuk mentransfernya. Hash ada untuk memastikan bahwa file tersebut utuh. Ini sangat berguna bagi pengguna dengan koneksi Internet yang buruk. Kembali ketika saya menggunakan modem faks, saya sering mendapatkan masalah dengan unduhan yang rusak.

Beberapa pengelola unduhan (seperti GetRight, jika saya ingat dengan benar), bahkan dapat secara otomatis menghitung hash file dan membandingkannya dengan nilai yang diketahui.

Poin menarik lainnya adalah keamanan. Masalah potensial dengan alat sumber terbuka adalah seberapa banyak Anda dapat mempercayai penyalur. Seringkali program seperti Eclipse adalah alat utama yang digunakan oleh perusahaan perangkat lunak dan oleh karena itu sangat penting bagi mereka untuk berpindah dari pengembang ke pengguna secara utuh. Karena program bersifat open source, misalnya dimungkinkan untuk membuat versi yang terinfeksi yang akan terlihat normal, tetapi membocorkan kode sumber ke beberapa server jarak jauh atau menginfeksi program yang dibuat oleh perangkat lunak dengan virus (saya pikir ini benar-benar terjadi pada beberapa versi Delphi) atau yang serupa. Untuk alasan itu, penting untuk memiliki hash resmi yang benar yang dapat digunakan untuk memeriksa apakah file yang didistribusikan adalah yang diklaim.

Beberapa pemikiran tentang saluran distribusi. Seringkali perangkat lunak gratis dapat ditemukan di sejumlah besar situs dan situs paling populer seperti SourceForge, misalnya memiliki sejumlah besar cermin. Katakanlah ada server di Barland yang mencerminkan situs distribusi perangkat lunak besar. FooSoft menggunakan program yang didistribusikan oleh situs dan mereka berada di Republic of Baz yang tepat di sebelah Barland. Jika seseorang ingin menyusup ke FooSoft, ia dapat memodifikasi salinan di Barland mirror dan berharap bahwa perangkat lunak geolokasi akan memastikan bahwa FooSoft mendapatkan versi yang dimodifikasi. Karena versi dari mirror lain baik-baik saja, kemungkinan malware akan terdeteksi lebih rendah. Anda juga bisa membuat malware mendeteksi alamat IP komputer dan mengaktifkannya hanya jika itu dari rentang tertentu, dan dengan demikian peluang penemuannya lebih rendah dan sebagainya.

MD5 dan SHA1 bukan hanya checksum. Mereka adalah checksum kriptografi. Ini berarti bahwa secara teori, dua file yang berbeda mungkin memiliki checksum yang sama, tetapi kemungkinan ini sangat kecil, hampir 0. Sebagai konsekuensinya, Anda menggunakan sebaliknya: checksum yang berbeda berarti Anda mendapatkan konten yang berbeda dengan probabilitas hampir 1. Jadi checksum kriptografi digunakan untuk mendeteksi perubahan dalam file. Ini bisa berupa perubahan berbahaya yang dilakukan dengan sengaja atau hanya kesalahan yang terjadi selama unduhan.