Kyselisin että minkälainen varmuus on että jos vaikka MD5 on identtinen, myös tiedostot ovat identtisiä, eli niitä ei ole käsitelty (esim. lisätty haittakoodia)? Eikös tutkijat ole saaneet tehtyä tiivistetunnistetörmäyksiä, jossa kahdella tiedostolla on sama MD5, vaikka kyse on eri tiedostoista?
Kasvaako turva, jos tarkistaa tunnisteet kahdela tai useammalla HASH-algoritmilla samalla kertaa esim. MD5 ja SHA-1? Eli lasketaanko eri tunnisteet eri lailla ja vaikka yhden tunnisteen pystyisi jotenkin törmäytämään, muut tunnisteet antavat armotta tiedon että tiedosto ei ole sama? Eikö se että useampi tiivistetunniste antaisi käsitellylle tiedostolle saman HASH:in kuin orginaalilla, ole jo mahdoton saavutus, jos niiden laskeminen tapahtuu eri algoritmilla? Eli jos sekä MD5 että SHA-1 antavat samat tunnisteet niin tiedostot todella ovat identtiset ilman riskiä käsittelystä.
Kasvaako turva, jos tarkistaa tunnisteet kahdela tai useammalla HASH-algoritmilla samalla kertaa esim. MD5 ja SHA-1? Eli lasketaanko eri tunnisteet eri lailla ja vaikka yhden tunnisteen pystyisi jotenkin törmäytämään, muut tunnisteet antavat armotta tiedon että tiedosto ei ole sama? Eikö se että useampi tiivistetunniste antaisi käsitellylle tiedostolle saman HASH:in kuin orginaalilla, ole jo mahdoton saavutus, jos niiden laskeminen tapahtuu eri algoritmilla? Eli jos sekä MD5 että SHA-1 antavat samat tunnisteet niin tiedostot todella ovat identtiset ilman riskiä käsittelystä.
Vastaukset 15
Vanhimmat
MD5 on nimenomaan suunniteltu siten että kahden erilaisen mutta saman tiivistesumman tuottaminen on mahdollisimman vaikeaa. On hyvin epätodennäköistä että joku pystyy lisäämään haittakoodia niin että tiiviste pysyy samana. Tietysti useamman eri tiivistemenetelmän käyttö lisää varmuutta koska ne muuttuvat eri tavalla lähdetiedoston muuttuessa.
Kysymys on enemmänkin luottamuksesta. Voiko ohjelman tekijään ja jakelijaan luottaa? Asennatko koneeseen toisen tekemiä ohjelmia vain luottamalla siihen ettei ohjelman tekijä ole ketku? Täyden varmuuden saamiseksi kaikkien koneelle asennettavien ohjelmien lähdekoodi pitäisi lukea tarkkaan läpi ja sitten vasta kääntää. Mutta tuliko silloin kaikki huomatuksi?
MD5:a on taidettu saada väärennetyksi. Mutta käyttämällä paria ristiin, sanoisin, että olet saleteilla.
Ihmettelen suuresti miksei esim. download.fi ja afterdawn.com näytä MD5 ja SHA-1 Hash-tunnisteita ohjelmatiedostojen lataussivuilla, kuten tekevät useat muut ulkolaiset ohjelmienlataussivustot.
HashTab on erinomainen ohjelma monien hash-tiedostotunnisteiden lukemiseen. Siinä voi valita halutut Hash-algoritmit jotka näytetään tiedostosta. mm. MD5 ja SHA-1.
Totta, kaikkien sivustojen pitäisi näyttää ladattavien tiedostojen hashit.
HashTab on minullakin käytössä. Lisäksi tällä hetkellä käyttämässäni 'Directory Opus'-tiedostomanagerissa saa MD5:n näkyviin
http://shup.com/Shup/296858/2010-03-15_101818.png
Tiiviste ei takaa kuin sen että ladattu tiedosto on tullut eheänä serveriltä omalle koneelle. Se ei anna mitään takeita tiedoston sisällöstä. Joissain tapauksissa kuten Debianissa ohjelmapakettien aitous varmennetaan digitaalisella allekirjoituksella. Tällöin ohjelmien asennuksessa voi käyttää turvallisesti mitä peilipalvelinta tahansa.
Voit ottaa etukäteen selvää haluamasi tiedoston tiivisteet. Silloin saat mitä olet hakemassa ilman, että kukaan on päässyt muuttamaan pakettia.
Jos löytää varmasti "aidon" tiivisteen, samasta paikasta varmaankin voi ladata "aidon" tiedostonkin.
Joskus. Aina se ei ole mahdollista. Esim. MS ei anna ladata käyttöjärjestelmiään. Monet ohjelmat pitää myös ladata kokeiluversioina. Jne.
Tietenkin pitää olla hyvin kriittinen kaikkeen netissä olevaan, mutta maalaisjärki on monesti avuksi.
Saako sitten Microsoftilta asennusrompun tiivisteen että voi tarkistaa onko waretettu image oikea?
Ei suoraan MS:ltä, mutta sen läheiset yhteisöt tai henkilöt saattavat vuotaa. Pienellä salapoliisityöllä kyllä löytää paikat ja tiedot, joihin voi lähes täysin luottaa.
On paljon todennäköisempää että saa väärän tiivisteen kuin väärennetyn imagen oikealla tiivisteellä. Todennäköisyydet ovat täysin eri kertaluokissa. Niistähän tässä on kysymys.
Väärennetty image oikeilla tiivisteillä onkin periaatteessa mahdottomuus. Samoin oikea image väärillä tiivisteillä.
Peukaloitu tiedosto sen tiivisteillä, jotka tietysti ovat sille oikeat tai alkuperäinen tiedosto, jonka tiivisteet ovat tietysti sen mukaiset, ovat mahdollisuudet.
Varmasti löytyy!
Ja takuulla jos tiedoston tunnisteet ovat samat kuin kotisivuilla kerrotaan, niin tiedosto on 100% sama. Lataa tiedosto ja katso sen hash vaikka HashTab-ohjelmalla. Sitten vaikka MD5-hash Googleen ja se näyttää löytykö sama hash tunnetuimpien lataussivustojen listoilta. Takuulla on aito tiedosto jos tunnisteet ovat samat. Myös kaikkien Windows-käyttöjärjestelmien aidot hash-tunnisteet löytyvät netistä.
Harmi todellakin ettei suomalaiset lataussivustot kuten download.fi ja afterdawn.com ymmärrä laittaa MD5 ja SHA-1 tiivistetunnisteita ohjelmien lataussivuilleen.
CRC32 BC2A902F
MD5 889A935B0D16E813254B3A69AAF3747E
SHA-1 3585A69EE011A96100FE4CAA4523BC0E439F804D
http://keskustelu.suomi24.fi/node/8904502
CRC32: BC2A902F
MD5: 889A935B0D16E813254B3A69AAF3747E
SHA-1: 3585A69EE011A96100FE4CAA4523BC0E439F804D
Tuossa on ainakin puhtaan 64-bittisen hashit.
Etsii vaikka sellaisen version, mikä täsmää MS:n jakaman version hasheihin. Bitinkin muuttuessa, hash muuttuu myös.
Tässä maailmassa pitää vaan oppia välttämään vaaroja, waremaailmassa etenkin.
Törmäys on toki mahdollinen, mutta äärimmäisen epätodennäköistä. Voittahaan tosin joku lotossakin jatkuvasti. Mutta se et taida olla sinä. ;)
Että tiedot on kunnossa ja julkaisijan laittamia.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (MingW32)
iEYEABECAAYFAkuorfwACgkQqgobJll1/0pRMwCfbRbKm9BbVHsTk43sjPtHngHA
iIgAn3kfIrd8wyMLUSbrzuv6aXlMYCjc
=uevH
-----END PGP SIGNATURE-----