SHA-256 を使用してダウンロードを検証する: パッケージ ID とファイルの整合性

ダウンロードしたパッケージを確認する

同じ公式 Flux リリースからパッケージと SHA256SUMS.txt を入手します。 Windows では、Get-FileHash はファイルの SHA-256 値を計算できます。完全な値を、その正確なパッケージ ファイル名のエントリと比較します。不一致は、比較を数文字に短縮するためではなく、ダウンロードを停止して調査する理由になります。

Get-FileHash -Algorithm SHA256 -LiteralPath '.\Flux_2.6.6_x64-setup.exe'

期待値も信頼できる必要があります

ファイルと同じ信頼できない再パック ページからコピーされたチェックサムは、そのページとの一致を証明するだけです。プロジェクトの実際のリリースを参考として使用してください。発行者が署名付きまたはその他の信頼できるチェックサムを提供する場合は、無関係な検索結果に置き換えるのではなく、そのコンテキストを保持してください。

目的の異なる 3 つのチェック

• チェックポイント チェックでは、続行する前に保存された転送データを検証します。
• 最終的な SHA-256 チェックでは、完成したファイルのバイトが記述されます。
• アップデーターの署名は、アプリケーションのキーに対して更新パッケージを検証します。
• Windows Authenticode は、別の証明書システムを通じて発行者を識別します。

結果をワークフローに適用する

現在の Flux パッケージの発行者署名ステータスはリリース ノートに記載されています。アップデーターの署名だけでは、Windows 発行者の警告は削除されません。同様に、トレント作品のハッシュは、コンテンツの安全性ではなく、メタデータとの一貫性を検証します。整合性、出所、ファイルを開くかどうかの決定を個別のチェックとして保持します。