web-dev-qa-db-ja.com

トレント経由でOSイメージをダウンロードする

たとえば、Ubuntu 代替ダウンロードページ を使用すると、トレント経由でOSをダウンロードできる可能性があります。ファイルが誰でもマシンに格納されているピアツーピアであることは、どれだけ安全かプロバイダーのWebサイトから直接OSイメージをダウンロードすることと比較すると、デスクトップの場合も、OSのセキュリティ侵害の影響が大きいサーバーの場合も同様です。

ダウンロードの確認に使用できる署名ハッシュがないことに少し驚いています...

BitTorrent

BitTorrentはピアツーピアダウンロードネットワークであり、大きなファイルのダウンロード速度と信頼性の高いダウンロードを時々可能にします。このダウンロード方法を有効にするには、コンピューターにBitTorrentクライアントをインストールする必要があります。

operating-systemsintegritytorrent
15
fduff
  1. ファイルピース（ "チャンク"）ハッシュは実際にはBitTorrentの必須のコア機能です（ダウンロードされたピースはすぐに自動的に検証されます）。 BTプロトコル-.torrentファイルには、検証に必要なハッシュが含まれています。したがって、.torrentファイルが攻撃者によって変更されない限り（これは非常に異なる問題です）、ファイルの整合性は、ダウンロード中に自動的に検証されます（無効な部分は通知なく破棄されます）。

だから：あなたがあなたの.torrentファイルのソースを信頼している場合（プレーンHTTP接続では常に疑わしいです、そしてハッキングされたサイトで ミントインシデント を参照してください）、その後のダウンロードは確かにソースと同じです請求。

それでも、後で整合性を検証する場合は、

  1. iSOの署名ハッシュは、ダウンロード方法に関係なく同じです。たとえば、 http://cdimage.ubuntu.com/releases/15.10/release/SHA256SUMS および http://cdimage.ubuntu.com/releases/15.10/release/SHA256SUMS.gpg = 15.10リリースのハッシュと署名。

参照： Torrentは正当なファイルを共有しても安全ですか（ファイル検証）？SHA1またはSHA256を使用していますか？

46
Piskvor left the building