posted by wap, platform: GOOGLE Nexus 5

引用:

原帖由 @aqi  于 2016-1-21 06:45 发表
数字签名是哈希算法计算生成你说的校验串后用私钥加密，所以才叫签名。
验证签名时，会用对应的数字证书（公钥）解开签名，得到校验串1，然后再用被校验文件算一次得到校验串2，对比这两个串就行了。
所以数字签名很可靠啊。

我还是觉得数字签名无法替代校验码。毕竟还有些文件没有签名。数字签名也无法在二进制上确认特定文件的一致性。比方说微软每天发行的带签名的文件成百上千，但是"版本号16.0.XXXX的office2016简体中文版"只有一个。光凭签名如何确认是哪一个？
________
发送自TGFC Android Beta客户端

引用:

原帖由 Kuzuryuusen 于 2016-1-21 04:29 发表
posted by wap
SHA-1最重要的作用是保证下载你硬盘上的文件与“别人”硬盘上的文件一致。问题的关键在于如何确认这个“别人”是谁？

以MSDN为例，SHA-1公开可查，可以确认这个“别人”是微软。
但顶楼这个文件， ...

那就是只要官方不公开SHA1,你都不信任下载喽?有必要这么小心吗?要不要每个下载都在虚拟机先安装一遍试试啊?

posted by wap, platform: GOOGLE Nexus 5

引用:

原帖由 @para  于 2016-1-21 09:19 发表
那就是只要官方不公开SHA1,你都不信任下载喽?有必要这么小心吗?要不要每个下载都在虚拟机先安装一遍试试啊?

不太准确。如果官方不公布SHA1，我不会信任任何"网盘"下载，只会借助有理由相信的途径比如官方网站。现实是MSDN有SHA1供大众查阅实际上是提供方便了。
有没有必要这么小心你得问问自己将来会用这些软件干啥。
________
发送自TGFC Android Beta客户端

引用:

原帖由 Kuzuryuusen 于 2016-1-21 09:29 发表
posted by wap, platform: GOOGLE Nexus 5
不太准确。如果官方不公布SHA1，我不会信任任何"网盘"下载，只会借助有理由相信的途径比如官方网站。现实是MSDN有SHA1供大众查阅实际上是提供方便了。
有没有必要这么小心你 ...

光是你 76# 的回复就是在扯了，数字签名恰恰就是证明所有文件在二进制上就是每个字节一致的，怎么还没搞清楚？

另外，微软现在签发的安装包，所有的可执行的 EXE MSI CAB 文件都有签名，TXT 文件是不能签名但是有任何影响？

这年头发个东西，只要是带签名的，懂的人都秒懂，主帖给个 SHA-1 是为了方便大家下载之后一次性校验整体有没有出错，因为单个文件的数字签名要逐个检查，你怀疑这个除了说明你不懂其他什么都说明不了…

所以，一个安装包，全部的文件都是微软官方签发的，装好之后是简体中文的，那么还有其他任何问题么？

最后说一点，远景有人有 VLSC 账号的，截图证明 VLSC 本身就不提供任何下载文件的校验码，而现在 VLSC 是批量授权版本惟一的来源，如果你不要 VLSC 的批量授权版，又没人不准你用 MSDN 的零售版，自己解决激活问题就是

[ 本帖最后由 Boomer 于 2016-1-21 09:53 编辑 ]

posted by wap, platform: GOOGLE Nexus 5

引用:

原帖由 @Boomer  于 2016-1-21 09:43 发表
光是你 76# 的回复就是在扯了，数字签名恰恰就是证明所有文件在二进制上就是每个字节一致的，怎么还没搞清楚？

另外，微软现在签发的安装包，所有的可执行的 EXE MSI CAB 文件都有签名，TXT 文件是不能签名但是有任何影响？

这年头发个东西，只要是带签名的，懂的人都秒懂，主帖给个 SHA1 是为了方便大家下载之后一次性校验整体有没有出错，因为单个文件的数字签名要逐个检查，你怀疑这个除了说明你不懂其他什么都说明不了…

所以，一个安装包，全部的文件都是微软官方签发的，装好之后是简体中文的，那么还有其他任何问题么？

最后说一点，远景有人有 VLSC 账号的，截图证明 VLSC 本身就不提供任何下载文件的校验码，而现在 VLSC 是批量授权版本惟一的来源，如果你不要 VLSC 的批量授权版，又没人不准你用 MSDN 的零售版，自己解决激活问题就是

这么问吧：顶楼的校验码是多余的咯对不对？

我是在普及数字安全的基本原则，那就是来源可信。远景有人有VLSC账户，那很好，对于那人来说他有可信来源。可是对于没有账户的人来说并无意义。

顶楼那个文件也许是好的，但我没有可信的验证手段。当然了，各人的数字安全原则不一样，我只是阐明我认为最可靠的方式而已。
你那句"安装之后"实在笑喷，数字安全不是开玩笑，安装之后就晚啦。
________
发送自TGFC Android Beta客户端

引用:

原帖由 Kuzuryuusen 于 2016-1-21 10:53 发表
posted by wap, platform: GOOGLE Nexus 5
这么问吧：顶楼的校验码是多余的咯对不对？

我是在普及数字安全的基本原则，那就是来源可信。远景有人有VLSC账户，那很好，对于那人来说他有可信来源。可是对于没有账户的 ...

不是多余的，因为除了你以外的坛友都想一次性校验全部的文件，而你有闲心的话可以逐个文件检查数字签名

因为全部文件都有微软数字签名，所以安装绝对不会危害安全，不存在什么安装之后就晚了的问题，明白？

你要不信数字签名的话，可以写论文论证，只要能发在国际权威期刊上，保证你瞬间成为世界顶级计算机科学家

这种扯淡的回复到此为止，其他需要做的事情多了

posted by wap, platform: GOOGLE Nexus 5

引用:

原帖由 @Boomer  于 2016-1-21 11:03 发表
不是多余的，因为除了你以外的坛友都想一次性校验全部的文件，而你有闲心的话可以逐个文件检查数字签名

因为全部文件都有微软数字签名，所以安装绝对不会危害安全，不存在什么安装之后就晚了的问题，明白？

你要不信数字签名的话，可以写论文论证，只要能发在国际权威期刊上，保证你瞬间成为世界顶级计算机科学家

这种扯淡的回复到此为止，其他需要做的事情多了

是啊，一次性校验全部文件，问题是和谁校验？和俄罗斯网友吗？
我不信任俄罗斯网友，所以连下载下来逐个校验的闲心都不会有。你可以认为这是扯淡，我认为对任何看重数字安全的人来说这都是极其严肃的事情。
________
发送自TGFC Android Beta客户端

引用:

原帖由 Kuzuryuusen 于 2016-1-21 11:16 发表
posted by wap, platform: GOOGLE Nexus 5
是啊，一次性校验全部文件，问题是和谁校验？和俄罗斯网友吗？
我不信任俄罗斯网友，所以连下载下来逐个校验的闲心都不会有。你可以认为这是扯淡，我认为对任何看重数字安全 ...

对啊，当然是和首发的俄罗斯网友校验

比如，现在我有很多个小文件，每一个都带微软的数字签名，然后我把全部的文件打包到单个的文件里，你收到之后首先校验这单个文件的 SHA-1，单个的这个大文件一致的话，难道解开之后得到的任意一个单体文件会不一致？

这个逻辑问题你得好好想想…

posted by wap, platform: 小米 4
马克思主义，谢谢楼主了

posted by wap, platform: GOOGLE Nexus 5

引用:

原帖由 @Boomer  于 2016-1-21 11:32 发表
对啊，当然是和首发的俄罗斯网友校验

比如，现在我有很多个小文件，每一个都带微软的数字签名，然后我把全部的文件打包到单个的文件里，你收到之后首先校验这单个文件的 SHA1，单个的这个大文件一致的话，难道解开之后得到的任意一个单体文件会不一致？

这个逻辑问题你得好好想想…

这逻辑建立在信任俄罗斯网友的基础上。而我不信任他，就这么简单。
等一下，你是说这个包是俄罗斯网友打的？抱歉我实在没那么勇敢啊。。。
________
发送自TGFC Android Beta客户端

引用:

原帖由 Kuzuryuusen 于 2016-1-21 12:22 发表
posted by wap, platform: GOOGLE Nexus 5
这逻辑建立在信任俄罗斯网友的基础上。而我不信任他，就这么简单。
等一下，你是说这个包是俄罗斯网友打的？抱歉我实在没那么勇敢啊。。。
________
发送自TGFC Android  ...

文件打包那是和你打个比方，这都不明白？

你信不信任他有什么关系？所有文件都是微软数字签名的，他改一个字节签名就失效了

posted by wap, platform: iPhone

引用:

原帖由 @Kuzuryuusen  于 2016-1-21 08:37 发表
我还是觉得数字签名无法替代校验码。毕竟还有些文件没有签名。数字签名也无法在二进制上确认特定文件的一致性。比方说微软每天发行的带签名的文件成百上千，但是"版本号16.0.XXXX的office2016简体中文版"只有一个。光凭签名如何确认是哪一个？
________
发送自TGFC Android Beta客户端

嗯嗯，尝试理解下，你的意思是说：
1. 对于ISO内的数据文件，没有签名，所以还是有风险。
2. 对于整个ISO文件之类的来说，可能会有被恶意重新打包、或者虽然是微软发布的但用途不是这个的风险。

如果是这两个的话，确实还需要大文件的签名或者哈希校验码，不过前者微软不会做吧，后者只能靠发布者的人品和后期用户鉴别了。。。

一知半解就钻牛角尖还要科普，还不如不说话呢，反正又不下

我其实是想问问有英文版的吗，有个老墨同事想让我帮他儿子电脑装一下~

引用:

原帖由 aqi 于 2016-1-21 12:59 发表
posted by wap, platform: iPhone
嗯嗯，尝试理解下，你的意思是说：
1. 对于ISO内的数据文件，没有签名，所以还是有风险。
2. 对于整个ISO文件之类的来说，可能会有被恶意重新打包、或者虽然是微软发布的但用途不 ...

所以他的观点完全站不住脚，因为微软把这个 ISO 内的数据文件全部加上了数字签名。。第一点就不成立了，后面就别说了

事实上他一开始胡搅蛮缠的时候可是连数字签名这个概念都不懂

引用:

原帖由 加州IT男 于 2016-1-21 12:59 发表
一知半解就钻牛角尖还要科普，还不如不说话呢，反正又不下

我其实是想问问有英文版的吗，有个老墨同事想让我帮他儿子电脑装一下~

英文版的可以在 MDL（mydigitallife）找到…