Dotaz: Oficiální stránky linuxu

[LIXON]

Dobrý den přeji

Mám dotaz na oficiální stránky Linuxu a to přesně níže uvedených:

http:/www.linux.cz

a

ftp.linux.cz

Přesněji se dotazuji Vás na oficiální obsah těchto stránek a obsah programů pomocí těmito stránkami staženými. (oficiálním obsahem myslím tím, že někým neoprávněným upraven jejich obsah)

Příklad z http:/www.linux.cz chci stáhnout PCLinuOS. a nebo z ftp.linux.cz chci stáhnout fedoru 14.

A pokud prominete chtěl bych se dotázat na ještě jednu otázku.

Jak jsem zmínil z htttp:/www.linux.cz stahuju PCLinuxOS, tak jestli existuje nějaké ověření pravosti, jako u Fedory CHEKSUM?

Odpovědi

[LIXON]

Pokud jsem vložil tento dotaz na nesprávnou poradnu tak se omlouvám předem, ale i když už to tu jestvuje tak proč se nepodělit o radu?

[Carth_Onasi]

Obvykle na stránkách distribuce je MD5 součet (pro PSLinuxOS), podle kterého to pak zkontroluješ.

[LIXON]

Jo moc se omlouvám nevšim jsem si toho. A nenašel by se nějaký příkaz na kontrolu? Nebo pouze jednoduché vložení příkazu do konzole?

[Carth_Onasi]

Třeba: `md5sum soubor`

Ale je tu menší problém, pokud chceš mít jisté, musíš sehnat MD5 všech souborů v ISO. Do upraveného ISO se dá přidat zvláštní soubor, aby MD5 seděl na ten původní... :)

[LIXON]

Ano přesně jako Fedora pro kontrolu na pracovním adresáři s CHEKSUM souborem in. A předpokládám, že lze tento menší problém vyřešit?

[Carth_Onasi]

Ani moc ne... :)

I ochranu u Fedory se dá obejít, že změníš buď hlavní CHEKSUM nebo přibalíš do baličku zvláštní soubor, aby MD5 sedel, o tom je celý předmět na ČVUT o zabezpečení dat.

Praktický neexistuje způsob dokonalého zabezpečení, to co se teď používá je podpis nějaké důvěryhodné společností, kódovací klíče, digitální podpisy, atd. A stále to nestačí :)

[lertimir]

to že neexistují metody dokonalého zabezpečení je nesmysl. Např. pro hash algoritmus SHA-1 není v současné době známá kolize. A právě kolize je to oč běží při kontrole integrity. V jistém směru je smutné, že mnoho distribucí pořád používá 18 let starý MD5 algoritmus, který je v současnosti již zlomen. Nemluvě o tom, že existují a jsou neprolomitelné hashové funkce SHA-224, SHA-256, SHA-384 a SHA-512. kde číslo znamená bitovou délku hashové funkce, (MD5 má délku hashe 128 bitu a sha-1 160 bitů) A v současnosti je v procesu veřejná soutěž NISTu (a NSA) na novou generaci hashové funkce SHA-3. Technicky zabezpečení je možné dokonale, to že se většina lidi k zabezpečení chová podobně jako když někdo zamkne byt a klíč strčí pod rohožku je věc druhá.

[Michal Kubeček]

Např. pro hash algoritmus SHA-1 není v současné době známá kolize. A právě kolize je to oč běží při kontrole integrity. V jistém směru je smutné, že mnoho distribucí pořád používá 18 let starý MD5 algoritmus, který je v současnosti již zlomen.

Něco zásadního mi uniklo, nebo je stav stále takový, že pro MD5 sice umíme generovat kolize, ale neumíme k danému souboru vyrobit kolizi, natož pak vyrobit k němu kolizi, která by vypadala tak, jak potřebujeme? Pokud ne, pak bych si problém "prolomení" MD5 dovolil označit za naprosto podružný v porovnání s daleko zásadnějším problémem, že kdo může na server podvrhnout falešný soubor, může tam téměř jistě vyměnit i ten kontrolní součet. (Kolik procent uživatelů (z těch, kteří vůbec checksumy kontrolují) si stahuje checksumy z jiného zdroje než vlastní soubor?)

Nemluvě o tom, že existují a jsou neprolomitelné hashové funkce SHA-224, SHA-256, SHA-384 a SHA-512.

Neprolomitelné? Kde berete tu jistotu? Nechtěl jste spíš napsat "neprolomené"? Správný paranoik by ovšem řekl "hashovací funkce, o nichž zatím není veřejně známo, že by byly prolomeny". :-)

[Pavel Stárek]

Tak v případě Fedory, existuje postup, jako ověřit pravost staženého instalačního média. Je tam i odkaz na návod, pokud používáš Windows. V případě PCLinuxOS asi jen porovnat md5 součet s tím, který je uveden na stránkách PCLinuxOS. Ale jinak bych se (moc) neobával, že by zrovna na ftp.linux.cz někdo podvrhnul obsah, většina obsahu se jednak (zřejmě) resyncuje s oficiálními ftp servery distribucí a druhak je tento server (spolu se serverem ftp.sh.cvut.cz) na seznamu oficiálních zrcadel mnoha velkých projektů (MySQL, Debian, Eclipse atd.).