software website 只提供 md5, 信唔信得過?

觀星是答案

md5 係為左俾人 check 個 program 有無被修改過

samiux

回復 觀星是答案[/other c hing s argue is that hacker can also change the md5 value displayed on webs ...
tmaxene 發表於 2018-9-15 23:03

    如果我無理解錯誤你的說法，如果真的如你所說的話，我想信如果黑客能夠修改網頁上的 md5 哈希值，sha1、sha2、sha128 等都能夠修改吧！

via HKEPC IR Pro 3.4.0 - Android(2.3.4)

samiux

回復 samiux

yes.

so c hing here say the hash value are not useful for protection against "fake .ex ...
tmaxene 發表於 2018-9-15 23:14

    我其實不甚理解你要表達些什麼，你是否可以清楚和直接些？

via HKEPC IR Pro 3.4.0 - Android(2.3.4)

觀星是答案

如果我無理解錯誤你的說法，如果真的如你所說的話，我想信如果黑客能夠修改網頁上的 md5 哈希值，sh ...
samiux 發表於 2018-9-15 23:10

有 d program 可能會放左去唔同既 hosts 儲存 + 讓 users download
其他 hosts 被修改左個 program , 唔代表擺放 md5 資訊既地方都被攻破左

samiux

首先，我並不是為 MD5 哈希值而辯護，我只是以事論事。

在討論之前，我們要弄清楚甚麼是哈希值和甚麼是安全。哈希值只是一個運算方法去計算出所需要的檔案、字串等的值，從而給大家對比該檔案或字串有沒有被干擾。例如在下載後檢查其哈希值是否一致，從而知道該下載是否完整。又或者用來對比一下兩個相同檔名的檔案是否一樣。

其次，哈希值並不能證明該檔案是否安全。如果下載的檔案的哈希值不一致，有可能在下載時出現問題導致檔案損毀，所以其哈希值就會不一致。

如果檔案是由心懷不軌的人所建立，而其哈希值是一致的，也不代表其檔案是安全的。所以，哈希值如果一致也不表示其檔案的安全性。

另外，談一談黑客入侵吧。如果網站被入侵，又或者網頁伺服器被入侵，在正確的設定下，將檔案和網頁內容同時修改或干擾是不容易的。換句話說，在網頁伺服器、網頁應用程式和設定同時出現錯誤的情況下，才有可能將檔案和網頁內容同時修改。

至於電子簽署，以我所知現實至少有一宗個案，就是開發者的電子證書被盜用來簽署黑客的惡意程式，以供用戶下載。所以，電子簽署也不能保證你所下載的檔案是否安全。

最後，下載的檔案安全與否並不只是檢查一下其哈希值和電子簽署這麼簡單的！

Samiux
OSCE  OSCP OSWP

via HKEPC IR Pro 3.4.0 - Android(2.3.4)