【ファイルの同一性確認のためのmd5とpgpの使い方】

質問

このサイトにあるpgpとmd5のリンクの使い方がわかりません。
ご存知の方がいらっしゃいましたら教えていただけるとありがたいです。
よろしくお願いいたします。
http://jakarta.apache.org/site/downloads/downloads_jmeter.cgi

回答No.1

sakusaker7 · ベストアンサー

PGPの方は知りませんのでmd5のほうだけ。

たとえば
http://www.meisei-u.ac.jp/mirror/apache/dist/jakarta/jmeter/binaries/jakarta-jmeter-2.2.tgz
からバイナリのアーカイブを取ってきたら、自分の手元でそのmd5を計算します。
お使いの環境がわかりませんが、md5というコマンドはありませんか?

md5 jakarta-jmeter-2.2.tgz

とすると、
9889e814318baade8e68bd20d81e74f1 *jakarta-jmeter-2.2.tgz
のように出力されますので、このmd5によるハッシュ値を
md5のリンクにあるものと比べて一致していて、サイズも同じなら
取得したアーカイブはまあ信用してよいと判断できます。

回答No.2

entree

PGP は GPG なんかがインストールされている環境で、キー (KEYS ファイル) を取得し、インポートします。

※サイトのキーが信用できる場合のみインポートしてください。

そうしたら、そのキーで署名されたファイルは改ざんされていないということが確認できます (考え方は SSL の認証に似ています)。具体的な使い方については私も良く覚えていないので、GPG で検索して確認してみてください。信憑性は高いのですが、正直言って非常にややこしいので、私も MD5 または SHA1 のチェックしかしていません。

以下の URL は GPG のサイトではありませんが、DL した BIND (DNS) のソースコードの改ざんチェックをしているサンプルがあるので分かりやすいと思います。
http://www.atmarkit.co.jp/flinux/rensai/bind901/bind901c.html

MD5 や SHA1 は、既に No.1 の方が回答されているように、ダウンロード後のファイルのハッシュ値を実際に計算してみて、その結果が事前に計算されたもの (Web サイトに公開されている MD5 または SHA1 ファイル) に一致しているかどうかを確認することによって、ダウンロードしている間に改ざんがなかったかどうかを確認する方法です。

MD5 を確認するコマンドは、md5、md5sum、openssl md5 -in <file> などがあります。(環境によって使えるコマンドが異なります)

SHA1 を確認するコマンドは openssl sha1 -in <file> などがあります。