¿Por qué los navegadores no tienen funciones integradas para verificar la integridad de las descargas? [cerrado]

Question

¿Por qué los navegadores no tienen funciones integradas para verificar la integridad de las descargas? [cerrado]

#1 de Philipp (2 votos)

0

Acabo de comenzar una descarga de un archivo grande. Las sumas de comprobación se colocaron en un lugar destacado en la página de descarga. Pero me acabo de dar cuenta de que en realidad nunca hice uso de ninguna de las sumas de verificación proporcionadas para la verificación de integridad de la descarga.

¿Cuáles son las razones por las que los navegadores no proporcionan esta característica desde una perspectiva de seguridad?

Muchos navegadores muestran algún tipo de ventana emergente cuando comienza la descarga. Por lo tanto, tendría sentido tener una opción para habilitar la verificación.

web-browser integrity

pregunta SpaceTrucker 14.08.2015 - 09:52

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-browser integrity

Entendiendo el algoritmo HMAC (SHA-256) ¿Cuánto más fuerte se vuelve una contraseña basada en párrafo / oración con caracteres aleatorios agregados?

score 2 · Answer 1

Porque no es necesario.

Todos los protocolos que se usan comúnmente para descargar archivos tienen un mecanismo incorporado para garantizar la integridad de la secuencia de datos o dependen de un protocolo de nivel inferior (como TCP) para proporcionar esto. Esta es una información confiable contra la corrupción accidental de archivos en transferencia.

Cuando se trata de intencional corrupción de archivos por parte de un intermediario: es muy probable que cualquier atacante que pueda modificar el flujo de datos de la descarga en sí mismo también pueda modificar el flujo de datos. que se utiliza para transferir la suma de comprobación, por lo que no sería una precación de seguridad eficiente.

Tales sumas de comprobación solo tienen sentido cuando el sitio web que anuncia el archivo y el sitio web que aloja el archivo está bajo el control de diferentes entidades, como cuando subcontrata sus archivos descargables a un tercer organizador de archivos. Pero para automatizar esto, necesitaríamos un protocolo que otorgue a un servidor la autoridad para indicar qué archivos de otro servidor son auténticos. Dicho protocolo tendría un gran potencial de abuso.