Mỗi lần bạn tải chương trình từ Internet, bạn phải tin vào nhà phát triển rằng nó không độc hại. Không có cách nào tránh khỏi điều đó. Nhưng thường đây không phải vấn đề, đặc biệt với phần mềm và nhà phát triển nổi tiếng.
Tuy nhiên, trang web lưu trữ phần mềm dễ bị tấn công hơn. Kẻ tấn công có thể phá vỡ bảo mật trang web và thay thế chương trình bằng phiên bản độc hại của họ. Điều này trông và hoạt động chính xác như bản gốc, trừ việc nó có backdoor được chèn vào. Với backdoor này, kẻ tấn công có thể kiểm soát nhiều phần của việc tính toán hàng ngày của bạn. Máy tính của bạn hoặc bị đưa vào botnet, hoặc tệ hơn, tiện ích chờ cho đến khi bạn dùng thẻ tín dụng/ghi nợ và đánh cắp thông tin đăng nhập. Bạn nên đặc biệt cẩn thận khi tải phần mềm quan trọng như hệ điều hành, ví tiền điện tử, hoặc tương tự.
Chữ Ký Số Có Thể Cứu Vãn Tình Hình
Người viết phần mềm có thể ký sản phẩm của họ. Trừ khi kẻ tấn công có thể đánh cắp khóa riêng tư của họ, không có cách biết nào để ai đó làm giả chữ ký này. Có vô số trường hợp hàng nghìn người dùng tải chương trình độc hại, và gần như mọi trường hợp, nếu họ kiểm tra chữ ký số, họ sẽ nhận ra chữ ký không hợp lệ, từ đó tránh được tình huống. Việc thay thế phần mềm trên trang web dễ bị tấn công khá dễ dàng nhưng cực kỳ khó để đánh cắp khóa riêng tư được lưu trữ đúng cách và cách ly khỏi truy cập Internet.
Bạn có thể đọc thêm về chữ ký số ở đây. Bài viết này thảo luận cùng chủ đề, trừ việc bạn sẽ dùng tiện ích Windows để xác thực bản tải xuống.
Cách Dùng Gpg4win Xác Thực Chữ Ký Số
Đi đến trang này và tải xuống và cài đặt Gpg4win. Người thông minh sẽ tự hỏi, "Nhưng tôi làm sao biết đây là hợp pháp?" Và đó là câu hỏi hay. Nếu cái này bị phá vỡ, thì tất cả các bước sau sẽ vô nghĩa.
May mắn thay, nhà phát triển đã trải qua mọi rắc rối để phần mềm của họ được ký bởi cơ quan chứng chỉ. Và họ chi tiết các bước xác thực chương trình của họ trên trang web. Mặc dù mật mã học tương tự được dùng để kiểm tra tính hợp lệ, phương pháp tổng thể khác. Chứng chỉ số được dùng cho việc này.
Xác Thực Checksum File
Giả sử bạn muốn tải ví Bitcoin Core. Tải file thực thi x64 Windows (exe, không phải zip). Sau đó, nhấp vào "Xác thực chữ ký phát hành" để tải file "SHA256SUMS.asc". Bước đầu tiên là xác thực hash của file cài đặt. Bạn có thể đọc thêm về hash ở đây.
Đi đến thư mục tải xuống, và với Gpg4win đã cài, bạn có thể nhấp chuột phải vào file, và menu ngữ cảnh mới sẽ xuất hiện. Nhấp chuột phải vào file cài đặt Bitcoin (file exe bạn tải), và chọn "Thêm tùy chọn GpgEX -> Tạo checksum", như hình dưới.
Mở cả "sha256sum.txt" vừa được tạo và "SHA256SUMS.asc" bạn tải. So sánh checksum SHA256. Chúng phải khớp hoàn hảo.
Kiểm Tra Chữ Ký Của File Liệt Kê Checksum
Mặc dù bạn vừa tải file cài đặt và danh sách checksum từ cùng trang web, nếu kẻ tấn công thay thế file cài đặt, hắn dễ dàng thay thế danh sách checksum cũng vậy. Điều hắn không thể làm, tuy nhiên, là làm giả chữ ký. Điều đó có thể được xác thực bằng khóa công khai đã biết (hợp pháp). Trước tiên, bạn cần tải khóa này.
Hình ảnh sau là hình dạng của chữ ký.
Đây là chữ ký nội tuyến (được bao gồm trong cùng file nó xác thực). Đôi khi chữ ký sẽ tách rời, được bao gồm trong file riêng. Nếu bạn thay đổi chỉ một chữ cái trong file văn bản này, chữ ký trở nên không hợp lệ. Đây là cách biết nhà phát triển đã phê duyệt và ký chính xác nội dung cụ thể này với checksum đúng.
Nhập Khóa Công Khai Của Nhà Phát Triển
Bạn có khóa công khai để tải dưới "Khóa ký phát hành Bitcoin Core" trong trang tải Bitcoin. Là biện pháp phòng ngừa, bạn có thể tải chúng từ nguồn khác. Nếu kẻ tấn công thay thế khóa hợp pháp bằng khóa của hắn, khả năng là chúng ta sẽ tìm thấy khóa đúng (và dấu vân tay) ở tất cả nơi khác chúng đã được đăng hoặc thảo luận.
Nhấp chuột phải vào "SHA256SUMS.asc", và chọn "Giải mã và Xác thực". Chương trình sẽ nói bạn chưa có khóa công khai. Nhấp vào "Tìm kiếm".
Tìm kiếm có thể mất một chút thời gian. Lưu ý chuỗi trong trường "Tìm".
Bạn có thể sao chép này và dán vào Google để xem dấu vân tay khóa công khai này đã được thảo luận trên diễn đàn/trang web hợp pháp hay chưa. Càng nhiều nơi bạn tìm thấy, càng chắc chắn nó thuộc về chủ sở hữu dự định.
Nhấp vào khóa và nhập nó. Bạn có thể nhấp "Không" trong lời nhắc tiếp theo (làm biện pháp chứng thực khóa) nếu bạn không biết cách hoặc không muốn làm bây giờ.
Cuối cùng, nhấp vào "Hiển thị nhật ký kiểm toán".
Bạn nên thấy văn bản được đánh dấu trong hình tiếp theo, "Chữ ký tốt".
Thử thay đổi chỉ một chữ cái trong "SHA256SUMS.asc", và bạn sẽ nhận được điều mô tả trong hình sau.
Kết Luận
Ít nhà phát triển cho bạn khả năng kiểm tra phần mềm của họ đến từ họ. Nhưng thường chương trình xử lý dữ liệu nhạy cảm hoặc rất quan trọng sẽ cung cấp tùy chọn này. Hãy dùng nó và nó có thể cứu bạn khỏi rắc rối suatu ngày.