Vérifier un téléchargement avec SHA-256 : identité du package et intégrité des fichiers

Vérifiez le package téléchargé

Obtenez le package et SHA256SUMS.txt à partir de la même version officielle de Flux. Sous Windows, Get-FileHash peut calculer la valeur SHA-256 d'un fichier. Comparez la valeur complète avec l’entrée correspondant exactement au nom de fichier du package. Une incompatibilité est une raison pour arrêter et enquêter sur le téléchargement, et non pour raccourcir la comparaison à quelques caractères.

Get-FileHash -Algorithm SHA256 -LiteralPath '.\Flux_2.6.6_x64-setup.exe'

Il faut également faire confiance à la valeur attendue

Une somme de contrôle copiée à partir de la même page de reconditionnement non fiable que le fichier prouve uniquement l'accord avec cette page. Utilisez la version actuelle du projet comme référence. Si un éditeur fournit une somme de contrôle signée ou autrement fiable, conservez ce contexte plutôt que de le remplacer par un résultat de recherche sans rapport.

Trois chèques aux finalités différentes

• Les contrôles aux points de contrôle vérifient les données de transfert enregistrées avant de continuer.
• Les vérifications finales SHA-256 décrivent les octets du fichier terminé.
• Les signatures du programme de mise à jour valident les packages de mise à jour par rapport à la clé de l'application.
• Windows Authenticode identifie un éditeur via un système de certificat différent.

Appliquez le résultat à votre flux de travail

Les packages Flux actuels documentent leur statut de signature d'éditeur dans les notes de version. Une signature de mise à jour ne supprime pas à elle seule un avertissement d’éditeur Windows. De même, un hachage de morceau torrent valide la cohérence avec les métadonnées plutôt que la sécurité de son contenu. Conservez l’intégrité, la provenance et la décision d’ouvrir un dossier sous forme de contrôles séparés.