1
mengzx 2017-04-13 07:39:14 +08:00 via Android
可以验证,但是被篡改的可能行很低
|
2
ynyounuo 2017-04-13 07:41:29 +08:00
当然,浏览器完全可信吗?系统环境完全可信吗?甚至来说,你检验 hash 的工具完全可信吗?
而且从第三方页面下载页看不到官网的 hash 呀,一般给 hash 就是为了验证各个 mirror 以及官方渠道下载到的都是同一个东西呗,没有绝对的安全啊。 |
3
hundan 2017-04-13 07:42:39 +08:00 via Android
有篡改的可能,万一官网被入侵了呢
|
5
phrack 2017-04-13 08:08:16 +08:00
有直接劫持 https 的技术,不会去搞你这么个用户的。
搞普通老百姓级别的 https 劫持,都是靠强制 downgrade 到 http 来做,所以只要 https 那个标志显示为安全,那就是安全的。 |
6
7654 2017-04-13 09:02:06 +08:00 1
直接验证软件数字签名,没有的要慎重,需要再去看看各大下载站的 Hash , softpedia , SF 等等
|
7
xratzh 2017-04-13 09:18:36 +08:00 via iPhone
上一次 linuxmint 被改 iso 文件不知道是怎么回事
|
8
honeycomb 2017-04-13 09:20:42 +08:00 via Android
这个机制最终验证的是软件包的签名,而不是下载该软件的网站提供的证书。
而且 HTTPS 的角色正在倾向于强调防止传输途中的窃听,中间人攻击。它不能防止网站自身就提供了非真实的软件。 |
9
ipwx 2017-04-13 09:48:10 +08:00
验证一下又不会怀孕~
|
10
h4x3rotab 2017-04-13 09:59:48 +08:00
还是验证一下吧,毕竟出岔子了就咖喱给给。 HTTPS 在你设置正确的情况下按理说不应该出问题,前提是 ban 掉各种不靠谱的证书。
|