Descargué una gran cantidad de archivos, pero descubrí el uso de md5 y sha como verificadores de integridad recientemente. A partir de entonces, siempre prefiero verificar si hay archivos descargados grandes, incluso si nunca los encontré corruptos.
¿Realmente necesitamos verificar la integridad de los archivos descargados?
Elija como ejemplo una distribución de Linux que acabo de descargar, que es de 1 GB, si lo desea.
Gracias
Respuestas:
Depende de algunos factores.
¿Tienes una conexión a internet estable?
Si tiene una conexión a Internet estable, no necesita verificar la integridad del archivo, ya que lo más probable es que sea correcto. Nunca reviso el hash y tampoco he tenido archivos corruptos. O tal vez una vez cuando el servidor remoto se desconectó.
¿Desea verificar el archivo por razones de seguridad?
Si le preocupa la seguridad del archivo que está descargando, puede usar el hash MD5 para verificar que el archivo no se haya modificado de alguna manera. Descarga un archivo y si el hash MD5 no coincide, significa que el archivo en el servidor es diferente al hash MD5, y de alguna manera algo está mal. Esto solo sería válido si no confía en el servidor desde el que está descargando, pero generalmente si alguien proporciona un hash, generalmente también hacen todo lo posible para mantener las cosas actualizadas. Pero si su sitio fue pirateado, y usted verificó el hash MD5, entonces obtuvo la pequeña bonificación.
En general, estos 2 darán un no a la mayoría de las personas. Si es un no para ti, eso depende totalmente de ti, por supuesto.
fuente
La respuesta y la elección que uno haga se basará en su tolerancia al riesgo y las consideraciones de tiempo y esfuerzo en la verificación.
Verificar los hashes MD5 / SHA1 es un buen primer paso y debe hacerlo cuando tenga tiempo. Sin embargo, debe tener en cuenta su capacidad de confiar en el hash proporcionado. Por ejemplo, si el sitio web del autor con el hash está pirateado, entonces el atacante puede cambiar el hash, por lo que no lo sabría. Si el hash que calcula no es el mismo que el hash proporcionado, sabe que algo está pasando. Sin embargo, solo porque la coincidencia de hashes no garantiza que el archivo sea bueno.
Una mejor alternativa para que un autor de software proporcione integridad y autenticidad es mediante la firma digital de los archivos que se distribuyen. Esto adjunta la información de autenticidad al archivo y no se basa en confiar en algún sitio web. Si un autor firma digitalmente el archivo, la única forma de falsificarlo es mediante una autoridad certificadora comprometida o si la clave de firma del desarrollador fue robada. Ambos casos son mucho menos probables que la piratería de un sitio web en Internet.
En última instancia, debe hacer su propia diligencia debida para determinar si desea confiar en algo y luego tomar contramedidas (ejecutar en una caja de arena, una máquina virtual, etc.) para mitigar los factores desconocidos o errores de cálculo que hizo al decidir si confiar o no .
fuente
Por razones de seguridad, SÍ. Tenga en cuenta que se descubrió que un nodo de salida de Tor parchea binarios durante la descarga , luego recuerde que su ISP puede o no tener la más mínima moral, y que tienen el control total de su conexión a Internet.
fuente
Solo para agregar a las otras respuestas:
TLDR: para archivos donde la integridad es crítica, sí
Respuesta larga: a menudo me parece necesario cuando estoy haciendo algo donde es crítico que el archivo tenga una alta integridad.
Un ejemplo es flashear un enrutador con OpenWRT. Si el archivo está dañado, entonces ese enrutador sería bloqueado, y luego tendría que:
Ambos son inconvenientes, en comparación con la simplicidad de verificar un hash. Por lo tanto, recomendaría hacerlo para archivos críticos.
fuente
Por lo general, solo me molesto en verificar si mi descarga se interrumpió y la reanudé más tarde, porque las solicitudes HTTP con un desplazamiento de búsqueda no se usan tanto, por lo que podría haber sucedido algo tonto.
En muchos casos, la descarga es un archivo comprimido que no se descomprimirá si está roto. Si ese NO es el caso, verificar no es una mala idea. Podría verificar un ISO antes de grabarlo en medios de escritura única.
Verificarlo con un hash del mismo sitio del que lo obtuve es de poca utilidad, en términos de seguridad, como han dicho otras respuestas y comentarios. Puede ser más útil si lo descargó desde un espejo, pero el hash es del original original. O si el nombre de archivo es ambiguo y, por alguna razón, no está seguro de tener la versión exacta que deseaba.
El punto es que publicar hashes es útil para muchos casos especiales además de simplemente descargar el archivo desde el mismo sitio que aloja el hash.
fuente