फ़ाइल डाउनलोड करते समय चेकसम की तुलना करना अच्छा क्यों है?

16

वे वेबसाइटें जो डाउनलोड के लिए आईएसओ फाइलों की आपूर्ति करती हैं, अक्सर उन फाइलों के md5 चेकसम देती हैं, जिनका उपयोग हम यह पुष्टि करने के लिए कर सकते हैं कि फाइल सही तरीके से डाउनलोड की गई है, और दूषित नहीं हुई है।

यह क्यों आवश्यक है? निश्चित रूप से टीसीपी के गुणों को सुधारने में त्रुटि पर्याप्त है। यदि कोई पैकेट सही तरीके से प्राप्त नहीं किया गया है, तो उसे वापस ले लिया जाएगा। टीसीपी / आईपी कनेक्शन की बहुत प्रकृति डेटा अखंडता की गारंटी नहीं देती है?

tcp

— आदित्य के
स्रोत

10

इसके अलावा सॉफ्टवेयर और हार्डवेयर में संभावित बग के बारे में मत भूलिए, डेटा ट्रांसफर करते हुए एंडपॉइंट्स पर भी इनबेटवाइन करें।

— सेबिक्स

डाउनलोड ने कुछ बाइट्स को जल्दी समाप्त कर दिया होगा। जब तक आप ध्यान नहीं दे रहे हैं, तब तक आपको फ़ाइल के आकार के अनुसार इसकी सूचना नहीं दी जाएगी, और टीसीपी त्रुटि सुधार केवल उस डेटा के हिस्से को सत्यापित करेगा जो वास्तव में आया है।

— केविन कीन

चेकसम आसान हो सकता है लेकिन, 20 वर्षों में कंप्यूटर के साथ काम करना, मुझे एक बार इसका उपयोग करना याद नहीं है।

— पेड्रो लोबिटो

2

MD5 हैश हैं, चेकसम नहीं। ट्रांसमिशन के लिए चेकसम का उपयोग त्रुटियों के लिए किया जाता है, विशेष रूप से ट्रांसमिशन के दौरान बिट त्रुटियों। एक क्रिप्टोग्राफिक हैश यह सुनिश्चित करने के लिए है कि डेटा बिल्कुल समान है। उस अर्थ में एक हैश चेकसम का सुपरसेट होगा, लेकिन वे समान नहीं हैं। इसके अलावा MD5 अब 10 वर्षों के लिए टूट गया है ( विकिपीडिया लेख, अनुभाग सुरक्षा देखें )।

— 0xC0000022L

20

जैसा कि दूसरों द्वारा नोट किया गया है, डेटा भ्रष्टाचार के लिए कई संभावनाएं हैं, जहां परिवहन परत पर कोई भी चेकसम मदद नहीं कर सकता है, जैसे कि चेकसम को भेजने के पक्ष में गणना करने से पहले ही हो रहा भ्रष्टाचार, एक MITM अवरोधन और धारा को संशोधित करना (डेटा के रूप में अच्छी तरह से) चेकसम के रूप में), भ्रष्टाचार अंत समय में चेकसम को मान्य करने के बाद हो रहा है, आदि।

यदि हम इन सभी अन्य संभावनाओं की अवहेलना करते हैं और स्वयं टीसीपी चेकसम की बारीकियों पर ध्यान केंद्रित करते हैं और यह वास्तव में डेटा अखंडता को मान्य करने के संदर्भ में क्या करता है, तो यह पता चलता है कि त्रुटियों की पहचान करने के मामले में इस चेकसम के गुण व्यापक नहीं हैं। जिस तरह से यह चेकसम एल्गोरिथ्म चुना गया था वह समय अवधि (1970 के अंत) के साथ संयोजन में गति की आवश्यकता को दर्शाता है।

इस तरह से टीसीपी चेकसम की गणना की जाती है:

चेकसम: 16 बिट्स

चेकसम फ़ील्ड हेडर और टेक्स्ट में सभी 16 बिट शब्दों के पूरक योग का 16 बिट है। यदि किसी सेगमेंट में विषम संख्या में हेडर और टेक्स्ट ऑक्टेट की जाँच की जानी है, तो अंतिम ऑक्टेट को चेकसम के प्रयोजनों के लिए 16 बिट शब्द बनाने के लिए शून्य के साथ दाईं ओर गढ़ा जाता है। पैड खंड के हिस्से के रूप में प्रेषित नहीं किया जाता है। चेकसम की गणना करते समय, चेकसम क्षेत्र को शून्य से बदल दिया जाता है।

इसका मतलब यह है कि इस तरह से डेटा को समेटने पर कोई भी भ्रष्टाचार संतुलित नहीं होगा। डेटा में भ्रष्टाचार की कई श्रेणियां हैं जो इसे अनुमति देगा लेकिन सिर्फ एक तुच्छ उदाहरण के रूप में: 16 बिट शब्दों के क्रम को बदलने से हमेशा अनिर्धारित हो जाएगा।

व्यवहार में, यह कई विशिष्ट त्रुटियों को पकड़ता है लेकिन अखंडता की गारंटी नहीं देता है। यह भी मदद करता है कि कैसे L2 परत भी अखंडता जांच करता है (उदाहरण के लिए ईथरनेट फ्रेम के CRC32), केवल स्थानीय लिंक पर प्रसारण के लिए यद्यपि, और दूषित डेटा के कई मामले कभी भी टीसीपी स्टैक को पारित नहीं होते हैं।

एक मजबूत हैश, या अधिमानतः एक क्रिप्टोग्राफिक हस्ताक्षर का उपयोग करके डेटा को मान्य करना, डेटा अखंडता सुनिश्चित करने के मामले में पूरे अलग स्तर पर है। दोनों की तुलना मुश्किल से की जा सकती है।

— हाकन लिंडक्विस्ट
स्रोत

सबसे बढ़िया उत्तर! मुझे नफरत है कि अन्य उत्तर क्रिप्टोग्राफिक हैश और चेकसम की अवधारणाओं को कैसे मिलाते हैं।

— 0xC0000022L

20

शायद एक zillion कारण है कि किसी को md5sum की जांच करनी चाहिए, लेकिन कुछ मेरे दिमाग में आते हैं:

दुर्भावनापूर्ण गतिविधि - सर्वर से रास्ते में आपके आईएसओ के साथ छेड़छाड़ की जा सकती थी
पृष्ठ स्वयं स्पूफ है (md5sums पर हस्ताक्षर करने के लिए इसका सबसे अच्छा है :))
टूटी हुई डाउनलोड (टीसीपी त्रुटि सुधार के बावजूद) ( इसे देखें )
आईएसओ गलत तरीके से जल गया

और यह केवल कुछ सेकंड लेता है।

— कोनराड गजवेस्की
स्रोत

21

इसका मतलब यह भी है कि एक यादृच्छिक दर्पण साइट से आईएसओ डाउनलोड करना उचित रूप से सुरक्षित है, बशर्ते कि आपको कहीं विश्वसनीय से चेकसम प्राप्त हो; उदाहरण के लिए एक पीजीपी ने फू-घोषणा मेलिंग सूची में पोस्ट पर हस्ताक्षर किए।

— रिचार्डब

2

यह वास्तव में दुर्भावनापूर्ण गतिविधि से बचाने के लिए कुछ भी नहीं मिला है । यदि ISO को एक दुर्भावनापूर्ण के साथ प्रतिस्थापित किया जा सकता है, तो MD5 चेकसम मान हो सकता है। उनके हस्ताक्षर होना एक अलग बात है लेकिन ओपी के बारे में क्या पूछ रहा है, यह नहीं। तो "दुर्भावनापूर्ण गतिविधि" अपनी सूची (यह यकीन है कि लगता है अच्छा) पर पहले किया जा रहा है के बजाय, यह वास्तव में भी नहीं करना चाहिए हो अपनी सूची पर। आप लोगों को सुरक्षा की झूठी भावना दे रहे हैं, जो खतरनाक है। superuser.com/questions/849845/…

— ऑस्टिन '' डेंजर '' पॉवर्स

1

@ Austin''Danger''Powers उम्म, नहीं, कोनराड का अधिकार। एक के लिए, डाउनलोड दर्पण आमतौर पर चेकसम दिखाने वाली साइट से अलग होता है , और दूसरा, दुनिया में बहुत सारे आईएसपी हैं जो ट्रैफ़िक में हेरफेर करते हैं - टीसीपी चेकसम ठीक रहेगा, लेकिन आप एक अलग फ़ाइल डाउनलोड कर रहे हैं। और निश्चित रूप से, वह एक और बिंदु के रूप में अच्छी तरह से याद कर रहा है - चेकसम बनाए जाने के बाद फ़ाइल सर्वर पर दूषित हो सकती है। यह हर समय होता है, विशेष रूप से अधिक "हॉबीस्ट" सर्वर (उचित RAID सेटअप आदि के बिना) के लिए।

— लुआण

2

2015 से एक जवाब एमडी 5 हैश के खिलाफ सलाह देना चाहिए । वह एल्गोरिथ्म पिछले दस वर्षों से टूटा हुआ है (कोई अतिशयोक्ति नहीं!)। इसके अलावा, आप चेकसम और हैश को मिला रहे हैं। वे दो अलग-अलग चीजें हैं जिनके पीछे अलग-अलग इरादे हैं।

— 0xC0000022L

1

@ 0xC0000022L SHA1 द्वारा टिप्पणी में जोड़ने के लिए सबसे अच्छा बचा जाता है अगर सुरक्षा पहले से ही एक बड़ी चिंता है, हालांकि यह और MD5 दोनों आकस्मिक भ्रष्टाचार के खिलाफ बचाव के लिए पूरी तरह से पर्याप्त हैं।

— डेविड स्पिलेट

6

टीसीपी / आईपी डेटा अखंडता की गारंटी देता है *। लेकिन यह गारंटी नहीं देता है कि फ़ाइल का 100% डाउनलोड किया गया है। ऐसा होने के कई कारण हो सकते हैं। उदाहरण के लिए: यह संभव है कि आप एक आईएसओ माउंट कर सकते हैं जो बीच में कहीं एक या दो बाइट्स को याद करता है। आपको तब तक इससे कोई समस्या नहीं होगी जब तक आपको एक या दो विशेष फ़ाइलों की आवश्यकता नहीं है जो भ्रष्ट हैं। तुलनात्मक चेकसम यह सुनिश्चित करते हैं कि आपने वास्तव में पूरी फाइल डाउनलोड की है।

* टिप्पणी देखें

— डैनियल
स्रोत

8

मुझे लगता है कि "डेटा अखंडता की गारंटी देता है" वास्तव में अति-बिक्री है जो यह वास्तव में करता है। यह बहुत ही दुबले दृष्टिकोण के साथ डेटा अखंडता की जांच करने का प्रयास करता है , जो विशेष रूप से मजबूत नहीं है।

— हाकिन लिंडक्विस्ट

6

टीसीपी चेकसम केवल 16 बिट्स है। इसका मतलब यह है कि, अन्य जाँचों के अभाव में, हर 65536 भ्रष्ट पैकेट में से एक को गैर-भ्रष्ट माना जाएगा। यदि, उदाहरण के लिए, आप 1% भ्रष्टाचार दर के साथ शोर लिंक पर 8GB डीवीडी छवि डाउनलोड कर रहे थे, तो आप 81 अनपेक्षित रूप से दूषित पैकेटों की अपेक्षा करेंगे।

MD5 एक बहुत बड़ा चेकसम है, 128 बिट पर। मूल के रूप में एक ही चेकसम के साथ कुछ का उत्पादन करने वाले उन 81 पैकेटों का अंतर 1,000,000,000,000,000,000,000,000,000,000,000,000 में लगभग 1 है।

— निशान
स्रोत

6

HTTP के माध्यम से डाउनलोड की गई फ़ाइल के चेकसम को सत्यापित करने के कई कारण हैं:

सुनिश्चित करना कि आपने पूरी फ़ाइल प्राप्त कर ली है
- कुछ क्लाइंट्स, जैसे कि फ़ायरफ़ॉक्स , एक बाधित डाउनलोड को एक सफल डाउनलोड के रूप में मान सकता है, आपको एक छंटनी की गई फ़ाइल के साथ छोड़ देता है लेकिन यह दावा करता है कि यह ठीक है
सुनिश्चित करें कि आपको सही फ़ाइल प्राप्त हुई है
- जैसे एक छोटी गाड़ी, समझौता या दुर्भावनापूर्ण सर्वर आपको कुछ और भेज सकता है
- यदि कोई व्यक्ति अपने सिस्टम से छेड़छाड़ करता है, तो उसका स्थानांतरण भी सुरक्षित नहीं है।
- वे आपको केवल एक झूठे डाउनलोड पेज के साथ प्रस्तुत कर सकते हैं, इसलिए आप वास्तविक सर्वर से भी नहीं जुड़े हैं (लेकिन इस मामले में चेकसमे बहुत मदद नहीं मिलेगी यदि आप उन्हें उसी नकली सर्वर से प्राप्त करते हैं)
- विभिन्न कारणों से ट्रांसमिशन में कई आईएसपी को जावास्क्रिप्ट को पृष्ठों में इंजेक्ट करते हुए पकड़ा गया है ¹ ; यह कितनी अच्छी तरह लागू किया गया है, इसके आधार पर, यह कुछ फ़ाइल डाउनलोड भी कर सकता है
- एक दर्पण फ़ाइल के पुराने संस्करण की मेजबानी कर सकता है, या व्यवस्थापक ने गलत फ़ाइल अपलोड की होगी
यह सुनिश्चित करना कि टीसीपी का पता न लगाकर फ़ाइल को दूषित कर दिया गया था
- उदाहरण के लिए फ़ाइल को सर्वर पर दूषित किया जा सकता है, इसलिए टीसीपी केवल यह सुनिश्चित करेगा कि पहले से ही दूषित फ़ाइल संचरण में आगे नहीं बढ़ पाए।
- या दोषपूर्ण मेमोरी / डिस्क, छोटी गाड़ी सिस्टम ड्राइवर आदि द्वारा आपके अंत में पहुंचने के बाद इसे दूषित किया जा सकता है
- टीसीपी चेकसम केवल 16-बिट हैं, इसलिए संभावना खगोलीय नहीं है (65536 में से 1) जो कि एक दूषित पैकेट का पता नहीं चलेगा
एक आईएसओ के साथ, यह सुनिश्चित करना कि डिस्क सही ढंग से जल गई

टिप्पणी में ¹ स्रोत क्योंकि lol प्रतिनिधि

— रेना
स्रोत

2

स्रोत: * security.stackexchange.com/questions/70970/… * * adblockplus.org/forum/viewtopic.php?t=8156 "आक्रामक आईएसपी इंजेक्शन / एम्बेडेड स्क्रिप्ट / विज्ञापन ब्लॉक करने योग्य है * * iamsrijit.wordpress.com/2012/09/ 14 /… * अधिक Google पर आसानी से पाया जा सकता है, लेकिन यह वास्तव में यहाँ विषय पर नहीं है

— Rena

2

डैनियल, उस उपकरण पर निर्भर करता है जिसका आप आईएसओ डाउनलोड के लिए उपयोग कर रहे हैं। अगर यह फ़ायरफ़ॉक्स कह रहा है .. यह फ़ाइल डाउनलोड दिखा सकता है। हालाँकि आपके पास पूर्ण आईएसओ बरकरार नहीं हो सकता है। यदि आप इसे जलाते हैं तो इसका उपयोग करने की कोशिश करें, जानकारी गायब हो सकती है। फ़ाइलों की मेजबानी करने वाले विभिन्न वेबसर्वर्स पर यह समय-समय पर होता है।

यह कम से कम फ़ाइल आकार (कुल बाइट्स या बिट्स) की तुलना करने के लिए एक अच्छा अभ्यास है सुनिश्चित करें कि वे मेल खाते हैं। विंडोज फाइल बाइट काउंट को अलग दिखाएगा फिर लिनक्स कहेगा। MD5 सम चेक एक ही मान दिखाएगा जो OS उपयोग किया जाता है। उम्मीद है इससे कुछ मदद मिली होगी। चीयर्स ...

— डेविड थॉमसन
स्रोत

2

विंडोज बाइट गिनती को दिखाता है कि लिनक्स कैसे दिखाता है? वास्तव में? मुझे लगा कि सीपी / एम के फ़ाइल-आकार-जैसे-ब्लॉक-गिनती फ़ाइल सिस्टम के साथ गर्भपात बाहर चला गया। (अब, यदि आप बाइट काउंट के अलावा कुछ देख रहे हैं - कहते हैं, एक्सप्लोरर में फाइल साइज डिस्प्ले - यह अच्छी तरह से भिन्न हो सकती है। लेकिन कोई भी sys sadadmin डाउनलोड की गई फ़ाइल अखंडता की जांच नहीं करनी चाहिए, ताकि वह एक गैर- मुद्दा।) बाइट्स बाइट्स हैं। बिट्स के संदर्भ में इसे देखने का कोई मतलब नहीं है, हालांकि; आपने पिछली बार कब डाउनलोड किया था और आधा बाइट संग्रहीत किया था?

— एक CVn

2

मैं बहुत सारे दिलचस्प जवाब देखता हूं, लेकिन विचार करने के लिए एक अंतिम बात है: दो जनरलों की समस्या

दो जनरलों की समस्या और बीजान्टिन जनरलों की समस्या विशेष रूप से अविश्वसनीय चैनलों के माध्यम से सूचना को विश्वसनीय तरीके से स्थानांतरित करने के निहितार्थ पर विचार करती है।

चेकसम "बढ़ती विश्वसनीयता" की सिर्फ एक और परत है, और विफलता की एक बहुत पतली संभावना है। यही कारण है कि यह इतना लोकप्रिय है।

— फर्नांडो कोर्डेइरो
स्रोत