Apakah kita benar-benar perlu memeriksa integritas file yang diunduh? [duplikat]

9

Saya mengunduh sejumlah besar file, tetapi menemukan penggunaan md5 dan sha sebagai checker integritas baru-baru ini. Sejak saat itu saya selalu lebih suka memeriksa file-file besar yang diunduh, bahkan jika saya tidak pernah menemukan mereka rusak.

Apakah kita benar-benar perlu memeriksa integritas file yang diunduh?

Pilih sebagai contoh distribusi Linux yang baru saja saya unduh, yaitu 1GB, jika Anda mau.

Terima kasih

— maxpesa
sumber

Ini sebenarnya bukan masalah dengan koneksi internet modern. Ini sepenuhnya tergantung pada preferensi pribadi Anda.

— Ramhound

5

Inti membandingkan hash lebih baik "memiliki seseorang mengubah file (jahat)" daripada "memiliki file diunduh dengan benar". Salah satu contoh utama adalah mengunduh ISO windows dari sumber yang tidak resmi / tidak dapat dipercaya dan memeriksa integritas file dengan membandingkan hash MD5 dengan yang diterbitkan Microsoft pada MSDN.

— TheUser1024

1

@ TheUser1024 ini menganggap bahwa dua sumber Anda sama, versi MSDN mungkin berbeda.

— Eric G

1

Pertanyaan ini mungkin mendapatkan lebih banyak respons tentang keamanan.SE

— Eric G

3

Itu sebenarnya lebih pada integritas daripada keamanan, karena saya hanya mengunduh dari sumber tepercaya, bahkan jika itu adalah poin penting dalam pengunduhan file

— maxpesa

6

Itu tergantung pada beberapa faktor.

Apakah Anda memiliki koneksi internet yang stabil?
Jika Anda memiliki koneksi internet yang stabil, Anda tidak perlu memeriksa integritas file karena kemungkinan besar akan benar. Saya tidak pernah memeriksa hash dan saya juga tidak pernah memiliki file yang korup. Atau mungkin suatu kali ketika server jauh terputus.
Apakah Anda ingin memverifikasi file berdasarkan alasan keamanan?
Jika Anda khawatir tentang keamanan file yang Anda unduh, Anda dapat menggunakan hash MD5 untuk memverifikasi bahwa file itu entah bagaimana tidak diubah. Anda mengunduh file dan jika hash MD5 tidak cocok, itu berarti file di server berbeda dari hash MD5, dan entah bagaimana ada sesuatu yang salah. Ini hanya akan valid jika Anda tidak mempercayai server tempat Anda mengunduh, tetapi biasanya jika seseorang memberikan hash, mereka biasanya juga mencoba yang terbaik untuk menjaga hal-hal diperbarui. Tetapi jika situs mereka diretas, dan Anda memang memeriksa hash MD5, maka Anda mendapat sedikit bonus.

Secara keseluruhan, 2 ini akan memberikan tidak pada kebanyakan orang. Jika tidak, itu sepenuhnya terserah Anda, tentu saja.

— LPChip
sumber

1

Koneksi internet yang stabil tidak cukup. Anda juga harus memastikan RAM dan drive penyimpanan Anda tidak merusak file. Tapi ya, sangat tidak mungkin. Jika mesin Anda tidak BSOD'ing, kemungkinan Anda hanya akan peduli dengan keamanan.

— ChrisInEdmonton

6

File checksum bukan pemeriksaan keamanan karena penyerang yang dapat memodifikasi file kemungkinan juga dapat memodifikasi checksum.

— Johnny

1

Jika saya meretas situs dan mengganti file dengan yang jahat, saya pikir saya akan cukup pintar untuk mengetahui untuk mengubah hash yang terdaftar.

— Cole Johnson

3

MD5 tidak lagi cukup untuk memverifikasi bahwa konten file tidak sengaja diubah. Itu hanya baik untuk korupsi yang tidak disengaja. Peluang penyerang kompromi keduanya bervariasi. Penyimpanan untuk hash, dalam banyak kasus, tidak diakses melalui saluran yang sama dengan penyimpanan file massal untuk unduhan besar. Untuk keamanan, tanda tangan kriptografi lebih baik daripada hash sederhana, terutama jika Anda tidak memiliki saluran aman untuk mendistribusikan hash.

— Perkins

Saya pikir ide hash adalah ketika file yang disediakan di-host di situs yang berbeda dengan hash. Misalnya situs pengembang dengan tautan pagar ke Sourceforge atau di suatu tempat.

— Matthew Lock

6

Jawaban dan pilihan yang diambil akan didasarkan pada toleransi risikonya dan pertimbangan waktu dan upaya dalam verifikasi.

Memeriksa hash MD5 / SHA1 adalah langkah pertama yang baik dan Anda harus melakukannya ketika Anda punya waktu. Namun, Anda harus mempertimbangkan kemampuan Anda untuk mempercayai hash yang disediakan. Misalnya, jika situs web penulis dengan hash diretas, maka penyerang dapat mengubah hash, jadi Anda tidak akan tahu. Jika hash yang Anda hitung tidak sama dengan hash yang diberikan, Anda tahu ada sesuatu yang terjadi. Namun, hanya karena pencocokan hash tidak menjamin file tersebut baik.

Alternatif yang lebih baik bagi pembuat perangkat lunak untuk memberikan integritas dan keaslian adalah dengan menandatangani secara digital file yang didistribusikan. Ini melampirkan informasi keaslian ke file dan tidak bergantung pada kepercayaan beberapa situs web. Jika penulis menandatangani file secara digital, satu-satunya cara untuk memalsukan ini adalah otoritas sertifikat yang disusupi atau jika kunci tanda tangan pengembang dicuri. Kedua kasus ini jauh lebih kecil kemungkinannya daripada peretasan situs web di Internet.

Pada akhirnya, Anda harus melakukan uji tuntas sendiri untuk menentukan apakah Anda ingin mempercayai sesuatu dan kemudian mengambil tindakan balasan (dijalankan di kotak pasir, mesin virtual, dll.) Untuk mengurangi faktor-faktor yang tidak diketahui atau kesalahan perhitungan yang Anda buat saat memutuskan apakah akan percaya atau tidak. .

— Eric G
sumber

4

Untuk alasan keamanan, YES. Pertimbangkan bahwa simpul keluar Tor ditemukan menambal binari selama pengunduhan , maka ingatlah bahwa ISP Anda mungkin atau mungkin tidak memiliki moral sedikit pun, dan bahwa mereka berada dalam kendali penuh koneksi internet Anda.

— Michael Kohne
sumber

Keluhan Anda pada ISP adalah pada kenyataan bahwa mereka dapat mengubah kecepatan dan prioritas koneksi saya dan hal-hal lain yang dapat merusak file?

— Maks.

@maxpesa - Mereka dapat memodifikasi aliran jika mereka mau. File tidak akan rusak hanya dimodifikasi.

— Ramhound

@maxpesa - Saya telah menunjukkan bahwa ISP Anda berada di posisi yang sama dengan simpul keluar Tor dalam artikel yang ditautkan - ia memiliki kemampuan untuk mengontrol apa yang terjadi pada kabel Anda. Jika mereka mau, mereka dapat memodifikasi binari yang Anda unduh saat itu juga.

— Michael Kohne

2

Jika penyerang dapat memodifikasi biner, penyerang bisa juga likley memodifikasi hash. Itu akan membutuhkan serangan yang lebih bertarget daripada menambal semua binari, tetapi masih sangat mungkin. Saat memeriksa hash dapat menghindari kerusakan, tidak ada jaminan. Jika Anda peduli dengan keamanan, langkah pertama adalah hanya mengunduh melalui HTTPS - terutama ketika Anda menggunakan proxy seperti dengan tor!

— kapex

1

Untuk menambahkan komentar @ kapep, lebih baik memvalidasi menggunakan tanda tangan kriptografis (menggunakan kunci yang didistribusikan melalui saluran aman). Dengan cara itu seorang penyerang harus mengkompromikan keystore dan repositori untuk mengubah biner.

— Johnny

4

Hanya untuk menambah jawaban lain:

TLDR: Untuk file yang integritasnya kritis, ya

Jawaban panjang: Saya sering merasa perlu ketika saya melakukan sesuatu di mana sangat penting bahwa file tersebut memiliki integritas tinggi.

Salah satu contoh adalah menginstal router dengan OpenWRT. Jika file tersebut rusak, maka router itu akan diblokir, dan kemudian saya harus:

Ganti itu (mahal)
Perbaiki (memakan waktu. Terutama jika saya perlu menyolder kabel serial / JTAG)

Keduanya tidak nyaman, dibandingkan dengan kesederhanaan memeriksa hash. Karena itu saya sangat merekomendasikan melakukannya untuk file-file penting.

— George
sumber

0

Saya biasanya hanya repot untuk memeriksa apakah unduhan saya terganggu dan saya melanjutkannya lagi, karena permintaan HTTP dengan offset pencarian tidak banyak digunakan, sehingga sesuatu yang konyol mungkin terjadi.

Dalam banyak kasus, unduhan adalah file terkompresi yang tidak akan terdekompresi jika rusak. Jika BUKAN itu masalahnya, memeriksa bukanlah ide yang buruk. Saya mungkin memeriksa ISO sebelum membakar itu ke media menulis-sekali.

Memverifikasikannya dengan hash dari situs yang sama dengan yang saya dapatkan tidak banyak berguna, baik dari segi keamanan, seperti yang dikatakan oleh jawaban dan komentar lainnya. Ini bisa lebih bermanfaat jika Anda mengunduh dari cermin, tetapi hash berasal dari hulu yang asli. Atau jika nama file ambigu, dan untuk beberapa alasan Anda tidak yakin Anda mendapatkan versi persis yang Anda inginkan.

Intinya, mempublikasikan hash berguna untuk banyak kasus khusus selain hanya mengunduh file dari situs yang sama dengan hosting hash.

— Peter Cordes
sumber