Jak sprawdzić integralność pliku za pomocą skrótów
Pobierając oprogramowanie lub przenosząc kopie zapasowe między systemami, potrzebujesz dowodu, że pliki nie zostały zmienione. Weryfikacja skrótu zapewnia ten dowód poprzez porównanie odcisku palca pliku z zaufaną wartością oczekiwaną.
Co właściwie mówi skrót
Skrót kryptograficzny konwertuje zawartość pliku na ciąg znaków o stałym rozmiarze. Jeśli zmieni się choćby jeden bit, zmienia się skrót. To sprawia, że skróty doskonale nadają się do wykrywania korupcji i manipulacji.
Zalecane algorytmy
- SHA-256: najlepsze ustawienie domyślne dla większości przepływów pracy.
- SHA-512: przydatne w środowiskach o bardziej rygorystycznych zasadach.
- MD5/SHA-1: unikaj w przypadku kontroli integralności wrażliwych na bezpieczeństwo.
Przebieg weryfikacji krok po kroku
- Pobierz plik z oficjalnego źródła.
- Uzyskaj sumę kontrolną z zaufanego kanału (strona dostawcy, podpisane informacje o wersji).
- Oblicz lokalny skrót pobranego pliku.
- Porównaj dokładnie lokalny skrót z oczekiwaną sumą kontrolną.
- W przypadku niezgodności odrzuć plik i pobierz ponownie ze zweryfikowanego źródła.
Częste błędy
- Kopiowanie sumy kontrolnej z tego samego skompromitowanego serwera lustrzanego.
- Porównywanie obciętych ciągów zamiast pełnych wartości skrótu.
- Pomijanie weryfikacji plików „tylko do użytku wewnętrznego