爲什麼要在發佈應用程序中使用SHA-1

Question

我去下載Notepad ++和一些我需要注意的事情，該頁面提供了一些下載選項（安裝程序，zip包，7z包，簡約包，SHA-1二進制包摘要，源代碼）「SHA-1 digests for binary packages」的選擇讓我問了一些問題，據我所知，SHA-1生成一個哈希碼，爲什麼他們使用它？這在這種情況下真的是哈希碼的功能？一般來說，哪一種科學使用它？我真的是新概念

Answer 1

當您從不受原始網站所有者控制的鏡像下載可執行文件時，哈希函數會發揮作用（我將解釋它爲什麼只對一分鐘鏡像非常有用）。假設某人用可感染某種形式的惡意軟件的版本替換可執行文件。你怎麼知道的？我的意思是Notepad ++是一個值得信賴的應用程序，所以你不會懷疑。你可以做的是下載應用程序並計算SHA-1。然後，您可以將其與網站上的相比較，以確保您下載的文件是他們所說的文件。現在我說「從鏡像」的原因是因爲，如果黑客入侵Notepad ++網站並更換了exe，一個聰明的黑客也會替換他們網站上列出的SHA-1，以便它與惡意軟件感染版本中的內容相匹配。由於大多數軟件包都可以從實際軟件作者控制之外的幾十個下載鏡像中獲得，所以散列（SHA-1，SHA-2，MD5或任何其他散列）是一個不錯的選擇「雙重檢查」以確保您下載的是原作者希望您下載的內容，即使它來自他/她無法控制的服務器。

Answer 2

這個想法是，您可以在下載它們後在本地計算文件的SHA-1哈希值，然後將其與發佈的摘要進行比較。

如果本地哈希與包的作者發佈的哈希不匹配，則出現錯誤：您的下載，分發包或哈希列表。無論如何，如果發生這種情況，您不應該相信您的下載。