Распределения и хэши

Question

Был ли у кого-нибудь случай загрузки программного обеспечения с подлинного сайта, где также предоставляется хэш серии MD5 или SHA для загрузки, а затем обнаружил, что хэш, рассчитанный по загруженному артефакту, не соответствует опубликованному хешу?

Я понимаю теорию, но мне любопытно, насколько распространена проблема. Многие издатели программного обеспечения, похоже, игнорируют угрозу.

Answer 1

У меня было это довольно много раз, но оказалось, что был маршрутизатор с неисправной оперативной памятью, которая повреждала данные при передаче. Большинство сбоев были прозрачно обработаны через контрольную сумму TCP, но некоторые прошли. На практике я получал один неправильный бит каждые 30 МБ или около того.

Я также столкнулся с пакетами программного обеспечения с неправильным MD5, вероятно, из-за человеческой ошибки на стороне упаковщика (он просто забыл перезапустить MD5 после обновления пакета; или это мог быть его компьютер, который была неисправна память). Последнее, что мне пришло в голову, это был бинарный пакет для NetBSD на архитектуре PowerPC.

Насколько я знаю, такие случайные ошибки на порядки чаще, чем реальные атаки злых людей. И все же они довольно редки в наши дни; Интернет в целом гораздо надежнее, чем 15 лет назад.

Answer 2

Однажды у меня была похожая проблема в дистрибутиве Linux (я думаю, что это была Fedora, но я не могу вспомнить подробности): во встроенное приложение «Проверка носителя» был встроен неправильный хэш, и он всегда сообщал диск как неисправный. Однако то, что вы описываете, кажется редким: скорее всего, у вас есть сканер вирусов или какое-то программное обеспечение, которое портит загрузку.