Saya mengunduh sejumlah besar file, tetapi menemukan penggunaan md5 dan sha sebagai checker integritas baru-baru ini. Sejak saat itu saya selalu lebih suka memeriksa file-file besar yang diunduh, bahkan jika saya tidak pernah menemukan mereka rusak.
Apakah kita benar-benar perlu memeriksa integritas file yang diunduh?
Pilih sebagai contoh distribusi Linux yang baru saja saya unduh, yaitu 1GB, jika Anda mau.
Terima kasih
Jawaban:
Itu tergantung pada beberapa faktor.
Apakah Anda memiliki koneksi internet yang stabil?
Jika Anda memiliki koneksi internet yang stabil, Anda tidak perlu memeriksa integritas file karena kemungkinan besar akan benar. Saya tidak pernah memeriksa hash dan saya juga tidak pernah memiliki file yang korup. Atau mungkin suatu kali ketika server jauh terputus.
Apakah Anda ingin memverifikasi file berdasarkan alasan keamanan?
Jika Anda khawatir tentang keamanan file yang Anda unduh, Anda dapat menggunakan hash MD5 untuk memverifikasi bahwa file itu entah bagaimana tidak diubah. Anda mengunduh file dan jika hash MD5 tidak cocok, itu berarti file di server berbeda dari hash MD5, dan entah bagaimana ada sesuatu yang salah. Ini hanya akan valid jika Anda tidak mempercayai server tempat Anda mengunduh, tetapi biasanya jika seseorang memberikan hash, mereka biasanya juga mencoba yang terbaik untuk menjaga hal-hal diperbarui. Tetapi jika situs mereka diretas, dan Anda memang memeriksa hash MD5, maka Anda mendapat sedikit bonus.
Secara keseluruhan, 2 ini akan memberikan tidak pada kebanyakan orang. Jika tidak, itu sepenuhnya terserah Anda, tentu saja.
sumber
Jawaban dan pilihan yang diambil akan didasarkan pada toleransi risikonya dan pertimbangan waktu dan upaya dalam verifikasi.
Memeriksa hash MD5 / SHA1 adalah langkah pertama yang baik dan Anda harus melakukannya ketika Anda punya waktu. Namun, Anda harus mempertimbangkan kemampuan Anda untuk mempercayai hash yang disediakan. Misalnya, jika situs web penulis dengan hash diretas, maka penyerang dapat mengubah hash, jadi Anda tidak akan tahu. Jika hash yang Anda hitung tidak sama dengan hash yang diberikan, Anda tahu ada sesuatu yang terjadi. Namun, hanya karena pencocokan hash tidak menjamin file tersebut baik.
Alternatif yang lebih baik bagi pembuat perangkat lunak untuk memberikan integritas dan keaslian adalah dengan menandatangani secara digital file yang didistribusikan. Ini melampirkan informasi keaslian ke file dan tidak bergantung pada kepercayaan beberapa situs web. Jika penulis menandatangani file secara digital, satu-satunya cara untuk memalsukan ini adalah otoritas sertifikat yang disusupi atau jika kunci tanda tangan pengembang dicuri. Kedua kasus ini jauh lebih kecil kemungkinannya daripada peretasan situs web di Internet.
Pada akhirnya, Anda harus melakukan uji tuntas sendiri untuk menentukan apakah Anda ingin mempercayai sesuatu dan kemudian mengambil tindakan balasan (dijalankan di kotak pasir, mesin virtual, dll.) Untuk mengurangi faktor-faktor yang tidak diketahui atau kesalahan perhitungan yang Anda buat saat memutuskan apakah akan percaya atau tidak. .
sumber
Untuk alasan keamanan, YES. Pertimbangkan bahwa simpul keluar Tor ditemukan menambal binari selama pengunduhan , maka ingatlah bahwa ISP Anda mungkin atau mungkin tidak memiliki moral sedikit pun, dan bahwa mereka berada dalam kendali penuh koneksi internet Anda.
sumber
Hanya untuk menambah jawaban lain:
TLDR: Untuk file yang integritasnya kritis, ya
Jawaban panjang: Saya sering merasa perlu ketika saya melakukan sesuatu di mana sangat penting bahwa file tersebut memiliki integritas tinggi.
Salah satu contoh adalah menginstal router dengan OpenWRT. Jika file tersebut rusak, maka router itu akan diblokir, dan kemudian saya harus:
Keduanya tidak nyaman, dibandingkan dengan kesederhanaan memeriksa hash. Karena itu saya sangat merekomendasikan melakukannya untuk file-file penting.
sumber
Saya biasanya hanya repot untuk memeriksa apakah unduhan saya terganggu dan saya melanjutkannya lagi, karena permintaan HTTP dengan offset pencarian tidak banyak digunakan, sehingga sesuatu yang konyol mungkin terjadi.
Dalam banyak kasus, unduhan adalah file terkompresi yang tidak akan terdekompresi jika rusak. Jika BUKAN itu masalahnya, memeriksa bukanlah ide yang buruk. Saya mungkin memeriksa ISO sebelum membakar itu ke media menulis-sekali.
Memverifikasikannya dengan hash dari situs yang sama dengan yang saya dapatkan tidak banyak berguna, baik dari segi keamanan, seperti yang dikatakan oleh jawaban dan komentar lainnya. Ini bisa lebih bermanfaat jika Anda mengunduh dari cermin, tetapi hash berasal dari hulu yang asli. Atau jika nama file ambigu, dan untuk beberapa alasan Anda tidak yakin Anda mendapatkan versi persis yang Anda inginkan.
Intinya, mempublikasikan hash berguna untuk banyak kasus khusus selain hanya mengunduh file dari situs yang sama dengan hosting hash.
sumber