Публикация HASH под ссылками на закачку дистрибутивов
Публикация HASH под ссылками на закачку дистрибутивов
Скажем SHA1 или SHA256 - кто, что об этом думает?
Никто не знает, почему имеющиеся в сети реализации расчёта SHA1, SHA256 на lua дают иной (но судя по self-тестам правильный) результат, чем sha1sum, HashTab, или плагин для FAR HashCRC?
Никто не решал проблему: есть сайт и его обновление доступно только по ftp. - Как автоматизировать публикацию (обновление) хэшей под ссылками для периодически обновляемых дистрибутивов? - Пока вижу только локальную замену в теле страницы с помощью регэкспов рассчитанным хэшем на lua, с последующей заливкой страницы на ftp сервер. Да вот только алгоритм расчёта хэша на lua не той системы (с) ...
Никто не знает, почему имеющиеся в сети реализации расчёта SHA1, SHA256 на lua дают иной (но судя по self-тестам правильный) результат, чем sha1sum, HashTab, или плагин для FAR HashCRC?
Никто не решал проблему: есть сайт и его обновление доступно только по ftp. - Как автоматизировать публикацию (обновление) хэшей под ссылками для периодически обновляемых дистрибутивов? - Пока вижу только локальную замену в теле страницы с помощью регэкспов рассчитанным хэшем на lua, с последующей заливкой страницы на ftp сервер. Да вот только алгоритм расчёта хэша на lua не той системы (с) ...
-
- Posts: 6834
- Joined: Thu 23 Mar, 2006 21:36
- Location: Israel
- Has thanked: 41 times
- Been thanked: 530 times
Re: Публикация HASH под ссылками на закачку дистрибутивов
Причём здесь луа - не луа ? Lua - это язык программирования.
Результат выполнения программы будет корректным, если программа корректная. И язык программирования здесь ни при чём.
Результат выполнения программы будет корректным, если программа корректная. И язык программирования здесь ни при чём.
Re: Публикация HASH под ссылками на закачку дистрибутивов
Shmuel, передачу содержимого файла на хэширование сделал так,
, где sha1 функция из sha1.lua. Результат не сходится с TabHash и остальными, сам sha1.lua работает как и задумано, это видно из самодиагностики. Может с передачей файла что-то не так, или на 0x00 код скрипта спотыкается?
-
- Posts: 6834
- Joined: Thu 23 Mar, 2006 21:36
- Location: Israel
- Has thanked: 41 times
- Been thanked: 530 times
Re: Публикация HASH под ссылками на закачку дистрибутивов
Для начала, файл надо читать в бинарном режиме.
Re: Публикация HASH под ссылками на закачку дистрибутивов
Shmuel, спасибо, затупил, почему-то был уверен, что сделал двоичное чтение.
А что насчёт публикации хэшей под ссылками на дистрибы - не реализуемо? или муторно?
А что насчёт публикации хэшей под ссылками на дистрибы - не реализуемо? или муторно?
-
- Posts: 6834
- Joined: Thu 23 Mar, 2006 21:36
- Location: Israel
- Has thanked: 41 times
- Been thanked: 530 times
Re: Публикация HASH под ссылками на закачку дистрибутивов
Сложностей быть не должно. Если сочтут целесообразным - сделают.AleXH wrote:А что насчёт публикации хэшей под ссылками на дистрибы - не реализуемо? или муторно?
- John Doe
- Бюрократ
- Posts: 13851
- Joined: Wed 27 Apr, 2005 20:42
- Has thanked: 73 times
- Been thanked: 428 times
- Contact:
Re: Публикация HASH под ссылками на закачку дистрибутивов
AleXH
Зачем только вы мешаете все вопросы в 1 теме?
Что увидит человек, зашедший сюда? "А, тут про луа..."
Так и уйдёт, не вникая что вы там хотели этим сказать.
Зачем только вы мешаете все вопросы в 1 теме?
Что увидит человек, зашедший сюда? "А, тут про луа..."
Так и уйдёт, не вникая что вы там хотели этим сказать.
- zg
- zero-gravity
- Posts: 6035
- Joined: Tue 15 Mar, 2005 17:36
- Location: riga
- Been thanked: 185 times
- Contact:
Re: Публикация HASH под ссылками на закачку дистрибутивов
какая от этого польза?AleXH wrote:Скажем SHA1 или SHA256 - кто, что об этом думает?
Re: Публикация HASH под ссылками на закачку дистрибутивов
Полагал что раз не сделано до сих пор, то ответ быстрее всего отрицательный. Поэтому содержание можно не выдерживать строго.John Doe wrote:Зачем только вы мешаете все вопросы в 1 теме?
Даже не знаю что ответить... Имхо польза очевидная - пользователь может сравнить хэш тем же HashCRC, либо HashTab и быть уверенным, что скачал он то, что клалось на сервер изначально. И если для ночнушек это не столь важно, поскольку срок жизни у них максимум сутки, то для стабильных сборок это уже актуально. Или они тоже каждые сутки пересобираются? В любом случае публиковать хэш это правило хорошего тона. Ведь мнительные пользователи тоже люди.zg wrote:какая от этого польза?
- zg
- zero-gravity
- Posts: 6035
- Joined: Tue 15 Mar, 2005 17:36
- Location: riga
- Been thanked: 185 times
- Contact:
Re: Публикация HASH под ссылками на закачку дистрибутивов
если файл заменил злоумышленник, что мешает ему заменить хэш? если файл побился, то у 7z/msi есть внутренние способы контроля целостности и какой смысл в дополнительном хэше?AleXH wrote:Имхо польза очевидная - пользователь может сравнить хэш тем же HashCRC, либо HashTab и быть уверенным, что скачал он то, что клалось на сервер изначально.
мнительные пользователи собирают всё сами из исходников.AleXH wrote:Ведь мнительные пользователи тоже люди.
Re: Публикация HASH под ссылками на закачку дистрибутивов
Это зависит от прав. Если для замены файла требуются одни права, а для изменений шаблонов сайта другие, то это уже веселее. В любом случае это больше работы, и соответственно требует больше времени, поэтому некая польза есть.если файл заменил злоумышленник, что мешает ему заменить хэш?
Никто не спорит, что компилировать безопаснее, но для этого нужно иметь среду компиляции и некоторые навыки, а также некоторое время - гораздо проще и быстрее просто сравнить хэши.
Независимо от реальной пользы хэша есть такая вещь, как спокойствие и комфорт пользователей и если схождение хэша придаст им уверенности при установке софта, то проделанная работа по его добавлению имеет смысл. Ещё раз обращаю ваше внимание - наличие хэша это хороший тон.
Другой случай - скачал - архив битый, скачал ещё раз, опять битый, ещё, снова битый - кто виноват? может он на сервере, либо кэше провайдера уже битый? А хэш бы дал возможность проверить.
- Alexey Samlyukov
- Posts: 1765
- Joined: Tue 15 Mar, 2005 17:28
- Been thanked: 7 times
- Contact:
Re: Публикация HASH под ссылками на закачку дистрибутивов
предложение из копилки techie... как он еще не высказался, забанили?
Re: Публикация HASH под ссылками на закачку дистрибутивов
копилку спёрли.. =)
Считать хэш имеет смысл, если файл хранится на другом сервере, не защищённом сертификатом (CDN там какой-нибудь). При этом MD5 уже юзать не стоит - его можно подделать дописыванием к концу файла. Если хэш передаётся по обычному HTTP вместе с файлом, то тут ничто ни от чего особо не защищается и хэш тут не поможет. Если товарищи были достаточно грамотные, чтобы залить заражённый дист, то и хэш новый подсунуть они позаботятся.
Считать хэш имеет смысл, если файл хранится на другом сервере, не защищённом сертификатом (CDN там какой-нибудь). При этом MD5 уже юзать не стоит - его можно подделать дописыванием к концу файла. Если хэш передаётся по обычному HTTP вместе с файлом, то тут ничто ни от чего особо не защищается и хэш тут не поможет. Если товарищи были достаточно грамотные, чтобы залить заражённый дист, то и хэш новый подсунуть они позаботятся.
- John Doe
- Бюрократ
- Posts: 13851
- Joined: Wed 27 Apr, 2005 20:42
- Has thanked: 73 times
- Been thanked: 428 times
- Contact:
Re: Публикация HASH под ссылками на закачку дистрибутивов
Что если подписывать far.exe?AleXH wrote:Даже не знаю что ответить... Имхо польза очевидная - пользователь может сравнить хэш тем же HashCRC, либо HashTab и быть уверенным, что скачал он то, что клалось на сервер изначально.zg wrote:какая от этого польза?