Zitat geschrieben von thermoman
Genauso wäre es kein Problem für den Angreifer, die Datei mit der Checksumme beim Download zu manipulieren, so dass der lokale Check dann "ja, passt"
ergibt.
Hier geht es aber nicht um die MD5-Checksumme sondern um die PGP-Signatur.
Zitat geschrieben von waenger
Also md5 ist nicht grade mehr das sicherste.
Die MD5-Checksumme ist auch ueberhaupt nicht dafuer gedacht, kryptografische Sicherheit zu gewaehrleisten, Sie dient lediglich dazu, zu pruefen, ob die Datei nach dem Download noch intakt ist. Also nicht z.Bsp. von einem Virenscanner zerhackstueckt wurde. Das ist lediglich eine simple technische Maßnahme, um erkennen zu koennen, dass die Datei nicht kaputt ist. Das hat nichts mit Sicherheit im kryptografischen Sinne zu tun. Und daher genuegt MD5 auch locker. Denn bei MD5 kommt es nicht mal eben zufaellig zu einer Hash-Kollision.
Zitat geschrieben von waenger
Und die asc Datei wäre genauso fälschbar wie die install Datei.
Falsch! Die asc-Datei ist die PGP-Signatur des Downloads. Du kannst vielleicht eine Signatur erzeugen, die zum Download passt, aber du wirst NIE eine Signatur erstellen koennen, die zu meinem Public-Key passt. Heisst: Du kannst eine falsche Signatur erzeugen. Die waere dann aber nicht von mir unterschrieben. Denn der dafuer noetige Private-Key liegt hier lokal auf meinem Rechner.
Zitat geschrieben von thermoman
Meinst Du nicht ein Angreifer könnte, nachdem er das Archiv auf dem Server manipuliert hätte, auch noch eben eine neue passende md5-Datei ablegen?
Damit passen Archiv und md5-Datei zusammen und trotzdem hast Du eine manipulierte Anwendung.
Nochmal: Die MD5-Checksumme DIENT NICHT DAZU, die Integritaet der Anwendung abzusichern. Dafuer ist der PGP-Schluessel da. Und wie der gefaelscht werden soll, moechte mir bitte mal jemand vormachen.
