Oui, c'est probablement correct.
J'utilise beaucoup md5 dans mon travail quotidien d'administrateur système et j'ai donc effectué de nombreuses recherches sur les questions de sécurité. J'ai trouvé quelques liens intéressants sur le sujet et j'ai également résumé les problèmes de sécurité et les utilisations des hachages dans un article de blog.
L'essentiel : trois éléments principaux à prendre en compte :
1) Il est possible que deux fichiers différents aient le même hachage. Selon leurs conclusions, les deux fichiers doivent être créés par l'attaquant, c'est-à-dire le créateur des fichiers.
2) Le hachage ne peut pas non plus être ciblé. Il est impossible de trouver un hachage et de concevoir un fichier correspondant à ce hachage. Au lieu de cela, le créateur doit créer deux fichiers différents de hachages identiques, et les valeurs de hachage elles-mêmes ne peuvent pas être "choisies" à l'avance.
3) Enfin, il existe un nombre fini de hachages, et donc, par pure chance, il est possible que deux fichiers aléatoires aient le même hachage (appelé "collision"). L'une des forces d'un bon algorithme de hachage est d'éviter les collisions.
En tenant compte de ce qui précède : Ainsi, si vous utilisez le hachage du fournisseur, vous savez que c'est le hachage réel que vous pouvez vérifier avec un pourcentage élevé de confiance.
Voici quelques références pour vous :
Un article fantastique sur la sécurité du hachage se trouve ici : http://blog.codinghorror.com/speed-hashing/
Article très approfondi sur la vulnérabilité des hachages en matière de sécurité (il présente même un exemple de création de deux fichiers différents avec des hachages identiques). http://www.win.tue.nl/hashclash/SoftIntCodeSign/
Ma propre collection d'informations sur la sécurité et l'utilisation du hachage http://geekswing.com/geek/the-magic-of-hash-and-i-mean-of-the-md5-and-sha-1-vintage/
3 votes
Il y a une très forte probabilité que le fichier soit exactement comme il était au moment de sa publication. En dehors de cela, personne ne peut dire, avec un algorithme de hachage aussi défaillant que le MD5 de nos jours. Il est peu probable qu'un pair ait pu injecter des données de telle sorte que le hachage global soit identique mais que les données soient différentes (il serait presque impossible de trouver une collision qui ferait cela). En dehors de la sécurité, je suppose que la version téléchargée correspond à l'original. Je voudrais également souligner que Bittorrent n'est pas une mauvaise chose. Certains mauvais fichiers sont distribués de cette façon mais.....
2 votes
Dans la limite du raisonnable : Oui, ce serait sûr. MD5 n'est pas 100%, donc utiliser SHA-1 ou quelque chose de plus moderne serait mieux, mais il serait très difficile de trafiquer une iso de manière à la rendre dangereuse. 2) Pour pinailler : Le simple fait de vérifier le MD5 ne signifie pas que c'est sûr. Je peux créer un virus, le torréfier et vous donner les sommes de contrôle correctes ;)