ダウンロードしたファイルの整合性を本当にチェックする必要がありますか？[重複]

9

大量のファイルをダウンロードしましたが、つい最近、md5とshaが整合性チェッカーとして使用されていることを発見しました。それ以来、破損していることがわからなかったとしても、ダウンロードした大きなファイルがないか常に確認することを好みます。

ダウンロードしたファイルの整合性を本当にチェックする必要がありますか？

例として、ダウンロードしたばかりのLinuxディストリビューション（1 GB）を選択します。

ありがとうございました

— Maxpesa
ソース

これは、現代のインターネット接続では本当に問題ではありません。それは完全にあなたの個人的な好みに依存します。

— ラムハウンド2015

5

ハッシュを比較するポイントは、「ファイルが正しくダウンロードされたか」ではなく、「誰かがファイルを（悪意を持って）変更したか」ということです。主要な例の1つは、非公式/信頼できないソースからWindows ISOをダウンロードし、MD5ハッシュをMSDNで公開されているものと比較して、ファイルの整合性をチェックすることです。

— TheUser1024 2015

1

@ TheUser1024これは、2つのソースが同じであることを前提としています。MSDNバージョンは異なる場合があります。

— エリックG

1

この質問はsecurity.SEに関する詳しい回答を得ることができます

— エリック・G

3

ファイルのダウンロードの重要なポイントであっても、信頼できるソースからのみダウンロードするため、実際にはセキュリティよりも整合性が重視されていました

— maxpesa

6

それはいくつかの要因に依存します。

安定したインターネット接続がありますか？
インターネット接続が安定している場合は、ファイルの整合性を確認する必要はほとんどありません。ハッシュをチェックしたり、ファイルが破損したことはありません。または、リモートサーバーが切断されたときのことです。
セキュリティ上の理由に基づいてファイルを検証しますか？
ダウンロードするファイルの安全性が心配な場合は、MD5ハッシュを使用して、ファイルが何らかの形で変更されていないことを確認できます。ファイルをダウンロードし、MD5ハッシュが一致しない場合は、サーバー上のファイルがMD5ハッシュとは異なることを意味し、なんらかの問題が発生しています。これは、ダウンロード元のサーバーが信頼できない場合にのみ有効ですが、通常、誰かがハッシュを提供した場合、通常は最新のものを維持するために最善を尽くします。しかし、彼らのサイトがハッキングされ、MD5ハッシュをチェックした場合、少しのボーナスを得た。

全体として、これら2つはほとんどの人にノーを与えます。それがあなたにとってノーであれば、もちろんそれはあなた次第です。

— LPChip
ソース

1

安定したインターネット接続では不十分です。また、RAMとストレージドライブがファイルを破損しないことを確認する必要があります。しかし、そうです。お使いのマシンがBSODに対応していない場合は、セキュリティのみを気にする可能性があります。

— ChrisInEdmonton 2015

6

ファイルを変更できる攻撃者がチェックサムも変更する可能性があるため、ファイルチェックサムはセキュリティチェックではありません。

— ジョニー

1

サイトをハックしてファイルを悪意のあるサイトに置き換えるとしたら、リストされているハッシュを変更できるほど賢いと思います。

— Cole Johnson

3

MD5は、ファイルの内容が意図的に変更されていないことを確認するにはもはや十分ではありません。それは意図しない腐敗に対してのみ良いことです。攻撃者が両方を侵害する確率はさまざまです。ハッシュのストレージは、多くの場合、大量のダウンロード用のバルクファイルストレージと同じチャネルを介してアクセスされません。セキュリティに関しては、特にハッシュを配布するための安全なチャネルがない場合、暗号化署名は単純なハッシュよりも優れています。

— パーキンス

ハッシュの考え方は、提供されたファイルがハッシュとは別のサイトでホストされていたときだったと思います。たとえば、Sourceforgeまたはどこかにハッシュリンクがある開発者のサイト。

— マシュー・ロック

6

1つが行う答えと選択は、彼/彼女のリスク許容度と、検証における時間と労力の考慮に基づいて行われます。

MD5 / SHA1ハッシュをチェックすることは良い最初のステップであり、時間があるときに行う必要があります。ただし、提供されたハッシュを信頼する能力を考慮する必要があります。たとえば、ハッシュを含む作成者のWebサイトがハッキングされた場合、攻撃者はハッシュを変更できるため、ユーザーにはわかりません。計算したハッシュが提供されたハッシュと同じでない場合は、何か問題があることがわかります。ただし、ハッシュが一致したからといって、ファイルが良好であるとは限りません。

ソフトウェアの作成者が整合性と信頼性を提供するためのより良い代替手段は、配布されるファイルにデジタル署名することです。これにより、認証情報がファイルに添付され、一部のWebサイトを信頼する必要がなくなります。作成者がファイルにデジタル署名した場合、これが偽造される唯一の方法は、侵害された認証局か、開発者の署名鍵が盗まれたかどうかです。これらのケースはどちらも、ハッキングされているインターネット上のWebサイトよりもはるかに可能性が低いです。

最終的には、何かを信頼するかどうかを判断するために独自のデューデリジェンスを実行し、次に対策（サンドボックス、仮想マシンなどで実行）を実行して、信頼するかどうかを決定するときに行った不明な要素や誤算を軽減する必要があります。。

— エリックG
ソース

4

セキュリティ上の理由から、はい。ダウンロード中に Tor出口ノードがバイナリにパッチを適用していることが判明したことを考慮してください。ISPがわずかなモラルを持っている場合と持っていない場合があり、インターネット接続を完全に制御していることに注意してください。

— マイケルコーン
ソース

あなたのISPに対する不満は、彼らが私の接続速度や優先順位を変更したり、ファイルを破壊する可能性のあるものを変更したりできるということです。

— maxpesa 2015

@maxpesa-必要に応じてストリームを変更できます。ファイルは変更されただけでは壊れません。

— ラムハウンド2015

@maxpesa-あなたのISPはリンクされた記事のTor出口ノードと同じ位置にあることを指摘していました-それはあなたのワイヤーから来るものを制御する能力を持っています。彼らが望めば、彼らはあなたがオンザフライでダウンロードするバイナリを修正する立場にあります。

— マイケルコーン

2

攻撃者がバイナリを変更できる場合、攻撃者はハッシュを変更することもできます。ただし、すべてのバイナリにパッチを当てるよりもターゲットを絞った攻撃が必要ですが、それでも十分に可能です。ハッシュをチェックすることで損傷を回避できますが、保証はありません。セキュリティに関心がある場合、最初のステップはHTTPS経由でのみダウンロードすることです。特に、torのようなプロキシを使用している場合は！

— kapex

1

@kapepのコメントに追加するには、暗号化された署名を使用して（セキュリティで保護されたチャネルを通じて配布されたキーを使用して）検証するのがさらに良いです。この方法では、攻撃者はバイナリを変更するために、キーストアとリポジトリの両方を侵害する必要があります。

— ジョニー

4

他の答えに追加するだけです：

TLDR：整合性が重要なファイルの場合、はい

長い回答：ファイルの整合性が非常に重要である場合に何かを実行しているときに必要になることがよくあります。

1つの例は、OpenWRTでルーターをフラッシュすることです。ファイルが破損している場合、そのルーターはブリックされ、次のいずれかを行う必要があります。

交換する（高価）
修正する（時間がかかる。特にシリアルケーブル/ JTAGをはんだ付けする必要がある場合）

ハッシュをチェックする単純さと比較すると、これらはどちらも不便です。したがって、重要なファイルに対して実行することを強くお勧めします。

— ジョージ
ソース

0

私は通常、ダウンロードが中断されたかどうかを確認するだけで済み、後で再開しました。シークオフセットのあるHTTPリクエストはそれほど広く使用されていないため、何か愚かなことが起こった可能性があります。

多くの場合、ダウンロードは圧縮ファイルであり、壊れても解凍されません。そうでない場合、チェックは悪い考えではありません。追記型メディアに書き込む前にISOをチェックする場合があります。

他の回答やコメントにあるように、取得したのと同じサイトのハッシュを使用してそれを検証することは、セキュリティ面でほとんど役に立ちません。ミラーからダウンロードした方が便利な場合がありますが、ハッシュは元のアップストリームからのものです。または、ファイル名があいまいで、何らかの理由で、希望する正確なバージョンを取得したかどうかが不明な場合。

要点は、ハッシュを公開しているのは、ハッシュをホストしている同じサイトからファイルをダウンロードする以外にも、多くの特別な場合に役立つということです。

— ピーター・コーデス
ソース