Jak zweryfikować sumę kontrolną MD5, SHA256 portfela / oprogramowania kryptowaluty

Niedawno jeden z naszych użytkowników zapytał: „Na stronie Github widzę kilka plików Windows 64; plik .exe, plik .md5sum i plik .sha256sum; który powinienem pobrać? ” Powiedzieliśmy im, aby pobrali plik .exe lub .zip, który jest większy. Te, które mają większy rozmiar, to rzeczywiste pliki portfela, a reszta to tylko sumy kontrolne. W porządku! Ale czym są te wszystkie pliki MD5sum i SHA256sum i dlaczego programiści umieszczają te pliki obok plików do pobrania?

Skrót MD5 i SHA256

SHA256sum i MD5sum to programy, które implementują odpowiednio algorytmy skrótu SHA256 i MD5, które są używane głównie do potwierdzania integralności i autentyczności pliku.

Zarówno MD5, jak i SHA256 to dwa różne algorytmy haszujące i to programiści decydują, który skrót udostępnić na stronie pobierania. Jak widać powyżej; programiści projektu Ravencoin dostarczyli zarówno hash MD5, jak i SHA256 do weryfikacji pliku do pobrania portfela. Ale to nie jest coś, co znajdziesz na stronie pobierania każdego innego oprogramowania do portfela kryptowalut. Ze względu na luki w zabezpieczeniach algorytmu MD5 większość programistów nie zapewnia skrótu MD5. Obecnie powszechnie używane są tylko wartości skrótu SHA256.

Na stronie Monero mogłeś zauważyć skróty SHA256 wymienione obok oprogramowania.

Podczas gdy niektórzy programiści tworzą i rozpowszechniają skróty wraz z każdą wersją oprogramowania; niektórzy programiści podpisują cyfrowo każdą nową wersję pakietu instalatora oficjalnym podpisem programisty.

W rdzeniu Bitcoin znajdziesz coś, co nazywa się sygnaturami wydania lub innymi słowy, są one również nazywane hashami wydania. Są to pliki ASC, które zwykle zawierają skrót SHA256 i podpis PGP.

Wystarczy pobrać plik i otworzyć go za pomocą Notatnika lub najlepiej w Notepad ++. Zobaczysz losowy ciąg liter i cyfr podobny do tego.

—–POCZĄTEK WIADOMOŚCI PODPISANEJ PGP—–

Hash: SHA256

5659c436ca92eed8ef42d5b2d162ff6283feba220748f9a373a5a53968975e34 bitcoin-0.17.1-aarch64-linux-gnu.tar.gz

aab3c1fb92e47734fadded1d3f9ccf0ac5a59e3cdc28c43a52fcab9f0cb395bc bitcoin-0.17.1-arm-linux-gnueabihf.tar.gz

b1e1dcf8265521fef9021a9d49d8661833e3f844ca9a410a9dd12a617553dda1 bitcoin-0.17.1-i686-pc-linux-gnu.tar.gz

6aa567381b95a20ac96b0b949701b04729a0c5796c320481bfa1db22da25efdb bitcoin-0.17.1-osx64.tar.gz

e3d785d800b71d277959d15b2c2b33d44dd72c1288e559928a40488dd935c949 bitcoin-0.17.1-osx.dmg

3e564fb5cf832f39e930e19c83ea53e09cfe6f93a663294ed83a32e194bda42a bitcoin-0.17.1.tar.gz

e9245e682126ef9fa4998eabbbdd1c3959df811dc10df60be626a5e5ffba9b78 ​​bitcoin-0.17.1-win32-setup.exe

6464aa2d338f3697950613bb88124e58d6ce78ead5e9ecacb5ba79d1e86a4e30 bitcoin-0.17.1-win32.zip

fa1e80c5e4ecc705549a8061e5e7e0aa6b2d26967f99681b5989d9bd938d8467 bitcoin-0.17.1-win64-setup.exe

1abbe6aa170ce7d8263d262f8cb0ae2a5bb3993aacd2f0c7e5316ae595fe81d7 bitcoin-0.17.1-win64.zip

53ffca45809127c9ba33ce0080558634101ec49de5224b2998c489b6d0fc2b17 bitcoin-0.17.1-x86_64-linux-gnu.tar.gz

—–ROZPOCZNIJ PODPIS PGP—–

Wersja: GnuPG v1.4.11 (GNU / Linux)

iQIcBAEBCAAGBQJcIeQ5AAoJEJDIAZ42wulk0NoQAIunIBT06bd2IhhxV / 48NUvf

sgTto4qYrKuX5Vkn + kfGuMBvNpmILi5CiVtnucWo7fKM6k5IPMyBQuE9iDVDzT9i

YemA9Au8Xy2aIGmVriuQoXxk8b17wAMS9uw362A3nXCz3kA + BWMDuMfBp3P3NPM /

PeOg6n04Q7seO / zNdT5i / ysaFB / XA8szrQxCRukSrXeGMUpv79UbcWOu3 + nfGit9

yYo / F2yO57Yacv597rKILlg29QxEVTqa5 + slMdwuU7NP5AdAcQV4EtFqoCOqM7C7

JL / zZWYnTywK3l0hOuCBJiY86izutWME5xgm7Eh3ORj + K6ZYT4iXw2JIkTdumeuS

X0WDE3ShH4rb35IaQX75FJLp5R7hLTXiNgng7b8Xhy / 62bJ75Ob4HVVSLG1Lkhps

vtml10br + 78qXiofzk8zaAW6KaG7G9nbBa0hfDjUEsYzA6P5iWA + 53ykupc82HNa

ZT2gk + wWhNhZOd / ANheriM0eqm / ZlK7oydYRRtf9Tamk + XJgREU1x8cWlMZcCPEE

uIUzb7 / REvYSjwcwArYLCq / eFPfjQe7jcG2WexnpxxkKJBvu2v4zVw9LLUPll094

BAmfk34iJKhN2cGVhvjO0Q9GKk0B2HzvhD5xn1Hnlp + NbXVNbKonYvkB71D3GY4W

t / eRyv7Erfi4dhHf + 8oQ

= UEoM

—–KONIEC PODPISU PGP—–

Są to kryptograficzne skróty i te informacje są udostępniane użytkownikom w celu zweryfikowania integralności pliku. Twórcy kryptowalut i często strony internetowe wskazują użytkownikom, aby zweryfikowali autentyczność pobranego pliku przed jego użyciem. Jednak większość użytkowników nie przejmuje się lub nie wie, co zrobić z tymi informacjami. Postanowiliśmy więc zrobić temat na ten temat. W tym przewodniku dla początkujących pokażemy, jak sprawdzić sumy kontrolne (tylko skrót SHA256 i skrót MD5, a nie podpisy PGP).

Ale poczekaj!? W każdym razie pobieram portfel z oficjalnego źródła, więc po co mam sprawdzać, czy pobrany portfel jest autentyczny? Co to jest suma kontrolna i jak pomaga weryfikacja sumy kontrolnej?

Co oznacza suma kontrolna i jak to działa?

Jak implikuje to słowo, „suma kontrolna” oznacza sprawdzić coś lub sprawdzić sumę. Łańcuch sumy kontrolnej to losowa wartość skrótu, która jest tworzona w wyniku skanowania zawartości programu. Programiści często tworzą i rozpowszechniają te ciągi sum kontrolnych w momencie wydania każdego oprogramowania portfela. Dlaczego?

Jednym z głównych problemów i największym problemem wśród użytkowników kryptowalut jest bezpieczeństwo i zaufanie. Podczas pobierania plików online nie możemy być w 100% pewni, że plik jest oryginalny; nawet jeśli pobrałeś z oficjalnego źródła. Istnieją szanse, że osoba trzecia może zmodyfikować plik podczas przesyłania lub zhakować serwer, na którym plik jest hostowany i zastąpić go złośliwą wersją. Ale o to chodzi: jeśli jakakolwiek osoba trzecia spróbuje zmienić oprogramowanie, nawet 1 bit, wyjściowa wartość skrótu ciągu sumy kontrolnej będzie zupełnie inna niż ta dostarczona przez programistę. Podając sumy kontrolne, użytkownicy mogą zweryfikować i upewnić się, że pobrali legalną kopię oprogramowania portfela opublikowanego przez programistę.

Jednym ze standardowych sposobów określania, czy plik programu został zmodyfikowany z pierwotnego stanu, czy nie, jest sprawdzenie jego wartości skrótu (weryfikacja sumy kontrolnej). Wystarczy obliczyć sumę kontrolną oprogramowania i porównać ją z tą udostępnioną przez programistę. Jeśli pasuje, plik jest autentyczny; jeśli nie, to pobieranie jest uszkodzone lub zostało naruszone.

Weryfikacja wartości skrótu pobranych plików przed ich użyciem jest ogólnie dobrą praktyką w zakresie bezpieczeństwa. Jeśli nie jesteś pewien, jak zweryfikować sumę kontrolną, postępuj zgodnie z poniższym przewodnikiem.

Jak zweryfikować sumę kontrolną (MD5 / SHA256) w systemie Windows, Linux & Prochowiec?

Aby lepiej wyjaśnić; w tym samouczku będziemy weryfikować sumę kontrolną portfela Monero GUI, aby upewnić się, że jest to rzeczywiście poprawny plik. Możesz wykonać te same kroki poniżej, aby zweryfikować sumę kontrolną dowolnych plików do pobrania portfela kryptowalut.

Najpierw pobierz plik portfela lub oprogramowanie, dla którego chcesz sprawdzić sumę kontrolną.

Okna:

Przejdź do folderu pobierania lub do lokalizacji, do której został pobrany plik. Teraz SHIFT + kliknij prawym przyciskiem myszy, a następnie kliknij tutaj otwórz okno PowerShell, które otworzy wiersz polecenia.

Wpisz „dir” bez cudzysłowów i naciśnij Enter, co spowoduje wyświetlenie listy wszystkich plików i folderów w tym katalogu.

Teraz zaznacz plik, dla którego chcesz zweryfikować sumę kontrolną, a następnie kliknij CTRL + C, aby skopiować. Następnie wprowadź odpowiednio następujące polecenie, aby zweryfikować skrót MD5 i skrót SHA256.

MD5: CertUtil -hashfile nazwa pliku MD5

SHA256: CertUtil -hashfile nazwa_pliku SHA256 (Przykład: CertUtil -hashfile monero-gui-win-x64-v0.14.0.0.zip SHA256)

Po zakończeniu naciśnij Enter. Okno poleceń wyświetli teraz wartość skrótu pliku w zależności od wybranego algorytmu wyznaczania wartości skrótu. Jeśli wybrałeś algorytm SHA256, wyświetli skrót SHA256. Jeśli wybrałeś algorytm MD5, wyświetli się skrót MD5.

Linux:

Procedura jest taka sama dla systemów Linux i Mac, z wyjątkiem tego, że nie otwiera się tutaj wiersza polecenia. Zamiast tego będziemy używać okna terminala.

SHA256: sha256sum / | MD5: md5sum /

Prochowiec: shasum -a 256 nazwa pliku

Teraz porównaj wartość skrótu wygenerowaną w oknie poleceń z wartością skrótu rozprowadzoną przez programistę portfela. Po prostu skopiuj je i zweryfikuj. Jeśli masz odpowiednią sekwencję, plik portfela jest legalny. Możesz iść dalej i zainstalować go teraz. Jeśli jednak nie pasują, nie instaluj pliku. Pobrany plik jest uszkodzony lub może być złośliwy. Pamiętaj, aby usunąć plik, pobrać go ponownie, a następnie zweryfikować sumę kontrolną, aby upewnić się, że wynik walidacji jest pozytywny.

Uwaga: Programiści często publikują wartości skrótu instalatorów portfela do pobrania na swoich stronach internetowych i na Github. Należy zauważyć, że każda wartość skrótu jest niepowtarzalna i różni się dla każdej wersji. Dlatego ważne jest, aby za każdym razem, gdy pobierasz nową wersję, weryfikować integralność oprogramowania portfela. W ten sposób możesz mieć pewność, że oprogramowanie portfela, którego używasz, jest oryginalną kopią.

Podpisy cyfrowe: podpisy GPG / PGP

Ale poczekaj!? Co się stanie, jeśli witryna zostanie przejęta, a hakerowi uda się odpowiednio zmienić zarówno plik portfela, jak i wartości skrótu? Zdarza się i dlatego większość programistów nie publikuje zarówno wartości skrótu, jak i plików binarnych w tej samej lokalizacji. Ponadto suma kontrolna SHA256 i MD5 to coś, czego ludzie używali na początku. Obecnie powszechnie używa się PGP, który jest bezpieczniejszym sposobem weryfikacji integralności plików. Oprócz skrótu SHA256 niektórzy programiści publikują podpisane skróty PGP instalatora portfela. Z drugiej strony, niektóre dostarczają tylko podpisy GPG.

Wkrótce w osobnym artykule omówimy więcej na temat GPG i weryfikacji podpisów cyfrowych.