如果提供镜像下载的网站对应镜像的md5/sha1值被篡改不就形同虚设了吗?

Question

比如我想下载linux iso文件,如果有人能把下载文件调包,也就能把网站上的md5/sha1修改成对应的调包文件的校验值,如此一来,md5/sha1不就没有存在的必要了吗?

Answer 1

1. 一般情况下，只有官方公布的md5/sha1才是可信的（官方被黑的情况不在讨论范围），可以用来校验非官方下载到的文件是否被篡改，同时作2用
2. 非官方镜像站点的md5/sha1，仅用作校验文件下载过程是否出现传输异常等问题，确保下载到的文件和服务器上的文件完全一致