为什么在应用程序的发布中使用SHA-1

Question

我去下载Notepad ++和我注意的东西，tha页面提供了一些下载选择（安装程序，zip包，7z包，极简主义包，用于二进制包的SHA-1摘要，源代码）＆＃34; SHA- 1个摘要用于二进制包＆＃34;选择让我问一些问题，据我所知，SHA-1生成一个哈希码，为什么他们使用它？在这种情况下，这实际上是哈希码的功能吗？一般来说，哪种科学使用呢？我在这个概念中真的很新

Answer 1

我们的想法是，您可以在下载文件后在本地计算文件的SHA-1哈希值，然后将其与已发布的摘要进行比较。

如果本地哈希与包的作者发布的哈希不对应，则会出现问题：下载，分发包或哈希列表。无论哪种方式，如果发生这种情况，您不应该信任您的下载。

Answer 2

当您从不受原始网站所有者控制的镜像下载可执行文件时，哈希就会发挥作用（我将解释为什么它在一分钟内对镜像非常有用）。让我们说有人用感染了某种形式的恶意软件的版本替换可执行文件。你怎么知道的？我的意思是Notepad ++是一个值得信赖的应用程序，所以你不太可能持怀疑态度。您可以做的是下载应用程序并计算SHA-1。然后，您可以将其与网站上的文件进行比较，以确保您下载的文件是他们所说的文件。现在我说的原因＆＃34;从镜子＆＃34;是因为，如果黑客入侵了Notepad ++网站并取代了exe，那么聪明的黑客也将取代其网站上列出的SHA-1，以便与恶意软件感染版本中的内容相匹配。

由于今天的大多数软件包都可以从实际软件作者无法控制的数十个下载镜像中获得，因此哈希（无论是SHA-1，SHA-2，MD5还是其他任何哈希）都是不错的选择。 ＃34;仔细检查＆＃34;确保您下载的内容是原作者打算下载的内容，即使它来自他/她无法控制的服务器。