ダウンロードしたモジュールをmd5やshaでチェック

ダウンロードしたモジュールをmd5やshaでチェック

記事一覧ダウンロードしたモジュールをmd5やshaでチェック

過去に「MD5で改竄を検知」という記事を書きましたが今回も似たような話。オープンソースなソフトウエアとか、フリーソフトなど、ダウンロードサイトには md5 や sha1 のハッシュコードが表示されていたりファイルで提供されていたりします。

しかし、実際にダウンロードしたもののハッシュ値を見て、チェックしている人はどのくらいいるのでしょうか?そこで実際に試してみます。今回の調査に使ったのは EC-CUBE の最新バージョン。オープンソースの EC サイト構築パッケージです。

EC-CUBE

EC-CUBE のダウンロードサイトには以下の情報が書かれています。

Version 2.1.2a(tar.gz)
  md5:5fd383d06d73f4d45e197411a182f4d0
Version 2.1.2a(zip)
  md5:7eda74bb1d75d0fd68f284aa18587128 

それぞれ、tar と zip のファイルをダウンロードしてハッシュ値を見てみましょう。EC-CUBE のサイトに書かれているハッシュは md5 のものなので、 md5 を使ってローカルでも検証してみます。

$ md5 eccube-2.1.2a.tar.gz
MD5 (eccube-2.1.2a.tar.gz) = 5fd383d06d73f4d45e197411a182f4d0

$ md5 eccube-2.1.2a.zip
MD5 (eccube-2.1.2a.zip) = 7eda74bb1d75d0fd68f284aa18587128

見比べてみると問題なく一致しているので、改竄されている可能性はないでしょう。些細なことですが、万が一このサーバのダウンロードのリクエスト先が何者かに変更されていて、改竄されたモジュールが提供されていたら大問題発生です。ダウンロードファイルが入れ替えられてる可能性もあります。

ファイルを解凍したら Windows のシステムが壊れたというのはかなり昔のウイルスにあったもので、今となってはかわいい方です。もっと怖いのは、このモジュールの php ファイルの一部が改竄されて、商品の購入が発生する度に、顧客情報を外部のサーバに流されるとか、ショッピングサイトとして致命的なダメージを受けてしまうことです。
(情報漏洩とか値段操作とか怖いですね)

改竄がソーシコードのほんの一部分であれば、改竄に気付く人も極めて少ないでしょうね・・・。サイトからダウンロードして、Web サーバの設定をすれば、すぐに利用できるこのパッケージソフトというメリットが、逆に悪い方向に活かされちゃいます。クレジット決済などの外部サービスと連携していれば、外部との通信も許可する可能性も高いのでやられ放題になると思います。

と大袈裟なことを言いつつも何の説得力もありませんが・・・。ホスティングサーバとかにプリインストールされている場合は、まあ、どうしようもないですしね・・・。ダウンロードのリクエストを投げてから、ファイルがクライアントにダウンロードされるまでの間にどのくらい改竄する機会があるのだろ。

フィッシング、リクエスト先の変更、モジュールの差し替え。そもそもサーバが乗っ取られたら md5 の表記も変更できるわけだし。リクエスト先の変更は hosts ファイルの書き換えが事前にいるだろうし。他の方法は知らないだけですが。考え出すとキリがないので、もう少し勉強します。どなたかアドバイス下さい。

参考カテゴリ

オススメ記事

最新の投稿やよく見られているのオススメ記事一覧です。

標準出力と標準エラー出力をパイプに渡す

よく、標準出力先をファイルにリダイレクトすることはありますが、意外に標準エラー出力は使う機会がありません。しかし、やはりツールやパッケージ製品になると標準エラー出力も活用されているようです。でも、...

Linux(FreeBSD)

>>記事を確認する

主要無料ブログ5つに対する自動投稿PHPプログラム

アメブロへ楽天APIなどの情報を自動で投稿する の反響が良かったので、どうせならアメブロ以外の無料ブログの XML-RPC を使った自動投稿も紹介したいと思います。これには FC2BlogManager.php というライブ...

PHP

>>記事を確認する

snmpでデバイスの情報を取得

snmpでデバイスの情報を取得するコマンドです。これを元に、ディスクIOなどのMIB値を探します。 $ snmpwalk -v 2c -c {SNMPGROUPNAME} localhost 1.3.6.1.4.1.2021.13.15.1.1.2 (結果の一部) UCD-DIS...

Linux(FreeBSD)

>>記事を確認する

awkで指定したカラム以降をprint表示する

前回、awk で最後のカラム以外を表示してみましたが、今回は指定したカラム以降のカラムを全部表示したいと思います。 例えば、7 個の文字列がカンマで区切られているファイルがあるとしたら、3 番目のカラム...

awk / シェル

>>記事を確認する

CentOSでRedisサーバを使う

冗長化した Web サーバなどで、セッションの管理や、セッションや特定のユーザーに紐付く一時データを管理するのに memcache を使う場面は多いと思います。 その memcache の中でも主流なのが memcached です...

Linux(FreeBSD) / CentOS / Redis

>>記事を確認する

ドメイン取るなら低価格で楽々管理

バリュードメインは、GMO デジロック社の低価格ドメイン総合サービスです。

このサイト含め、私もこれまでに 100 個以上のドメインを取得して管理してきましたが、WHOIS の代理公開も可能なので、無料 SSL 証明書の Let's Encrypt と組み合わせれば、かなりの低価格で SSL サイトも運営できます。

年単位で領収証発行もしてくれるので、たくさんサイトを抱えているアフィリエイターや個人事業主にもオススメです。

AWSの無料利用枠内で複数サイトをサクサクと運営する方法

MySQLでテーブル定義を取得

似たような構成のテーブルを作る時に、今までは mysqldump コマンドで -d オプションを付けて実行していました。 これでも十分に要件は満たせるのですが、MySQL のコンソールからサクっと出したい場合もある...

データベース / MySQL

>>記事を確認する

Poderosa5の登場と文字色と背景色

新しい PC を購入したので、久し振りに Poderosa のインストールをしたのですが、Poderosa-Terminal として最新バージョンの 5 が 2016 年に登場していました。 これ、職場でもインストールしてみたのですが...

Windows / ツール

>>記事を確認する

Laravel5.1からLaravel5.5へアップデートする

LTS だった Laravel5.1 のバグフィックスサポートが 2017 年の 6 月で終わり、セキュリティサポートも 2018 年の 6 月で終了となります。 このタイミングで、兼ねてから発表のあった、次期 LTS の Laravel5.5...

PHP / PHPフレームワーク / Laravel

>>記事を確認する

VagrantでCentOS6.9のイメージを使う

CentOS7 が既に 7.3 まで出ていますが、AmazonLinux がまだ 6 の構成と似ていることから、なかなか 7 系に移行できません。 そこで、Vagrant のイメージも 6 系の最新版を使うと思ったのですが、下記の BOX ...

Linux(FreeBSD) / CentOS / Vagrant

>>記事を確認する