分布和散列

Question

有没有人从真正的网站下载软件，其中还提供了下载的MD5或SHA系列哈希，然后发现从下载的工件计算的哈希与发布的哈希不匹配？< / p>

我理解这个理论，但我很好奇这个问题是多么普遍。许多软件出版商似乎都在打击威胁。

Answer 1

我曾经在Linux发行版中遇到过类似的问题（我相信它是Fedora，但我记不起细节了）：内置的“验证媒体”应用程序嵌入了错误的哈希值，它总会报告磁盘有故障。但是，您所描述的内容似乎很少见：最有可能的是，您有一台病毒扫描程序或某种破坏下载的软件。

Answer 2

我已经有好几次了，但事实证明，有一台路由器有错误的RAM，这会破坏传输中的数据。大多数故障都通过TCP校验和透明处理，但有些故障通过了。在实践中，我每30 MB左右就得到一个错误的位。

我还遇到了包含错误MD5的软件包，可能是由于打包器端的人为错误（他忘记在更新软件包后重新运行MD5;或者它可能是他的计算机它有错误的记忆）。最后我发现，它是在PowerPC架构上使用NetBSD的二进制包。

据我所知，这种随机错误比恶意个体的真实攻击频率高出几个数量级。然而现在它们非常罕见;整个互联网比15年前更可靠。