Autor de los archivos mencionados anteriormente aquí.
Es normal que la suma de comprobación de dichos archivos en el estado actual de las cosas cambie cuando se modifican los scripts de compilación y se activa y carga automáticamente una nueva compilación. En el caso de curl 7.46.0, los scripts de construcción (y, en consecuencia, los paquetes descargables) cambiaron tres veces a partir de este escrito:
- Se habilitó la compatibilidad con HTTP / 2, al crear y enlazar estáticamente la dependencia nghttp2: commit , < a href="https://ci.appveyor.com/project/vsz/harbour-deps/build/1.0.211"> log
La dependencia - nghttp2 se actualizó de la versión 1.5.0 a 1.6.0: commit , log
- se identificó y corrigió un error de compilación
libcurl.dll , que fue causado por una opción de compilación nghttp2 faltante: i75b0c5ec67b7a96d5382ad1e0c6815"> / a>, log
- el compilador subyacente de MinGW C se actualizó a 5.3.0, además de varias correcciones y actualizaciones internas: commit , log
- VirusTotal falso positivo se corrigió al eliminar un archivo
.vbs opcional que se había copiado previamente del paquete fuente original curl: commit , log
Cualquier confirmación aquí (realizada en la rama master ), activará una nueva construcción:
- excepto cuando se excluye explícitamente usando el texto de confirmación:
[ci skip]
- el proceso de compilación está diseñado para ser reproducible / determinista, por lo que la suma de comprobación solo cambiará si se modifican el código fuente subyacente o las opciones del compilador. (Una compilación repetida con las mismas opciones no la cambiará.)
En cuanto a la descarga de los binarios a través de diferentes protocolos, HTTP vs. HTTPS debería dar como resultado exactamente el mismo contenido binario (si las descargas se realizan en el mismo punto en el tiempo), aunque HTTPS es altamente recomendable.
En cuanto al malware potencial, vea mis pensamientos sobre GitHub:
enlace
En resumen: casi con certeza son falsos positivos, es poco probable que estén influenciados por el protocolo de transferencia, más probablemente por los problemas del motor del escáner. El proceso de compilación completo es public y auditable , así como todo el código fuente que se incorpora.)
ACTUALIZACIÓN [2015-12-28]: Como respuesta general al problema de HTTP vs. HTTPS: Este último protocolo seguro ofrece ciertas garantías de que el contenido proviene de la parte correcta y que no se ha alterado en su camino hacia la otro extremo del cable. Por estas razones, se puede confiar más y, por lo tanto, lo recomiendo en la respuesta original. Una garantía aún mejor es verificar los hashes SHA256 del contenido descargado con los generados en el servidor de compilación (visible al final de los registros de compilación vinculados anteriormente). Una garantía aún más sólida es tener el contenido firmado digitalmente (por ejemplo, utilizando PGP o minisign) y esa firma verificada por el receptor. (Las descargas de mis rizos no cuentan con una firma digital en este momento).
ACTUALIZACIÓN [2016-01-06]: Se actualizó la lista de actualizaciones de paquetes. Arreglar el falso positivo de VirusTotal fue uno de ellos.
