ダウンロードしたモジュールをmd5やshaでチェック

ダウンロードしたモジュールをmd5やshaでチェック

記事一覧ダウンロードしたモジュールをmd5やshaでチェック

過去に「MD5で改竄を検知」という記事を書きましたが今回も似たような話。オープンソースなソフトウエアとか、フリーソフトなど、ダウンロードサイトには md5 や sha1 のハッシュコードが表示されていたりファイルで提供されていたりします。

しかし、実際にダウンロードしたもののハッシュ値を見て、チェックしている人はどのくらいいるのでしょうか?そこで実際に試してみます。今回の調査に使ったのは EC-CUBE の最新バージョン。オープンソースの EC サイト構築パッケージです。

EC-CUBE

EC-CUBE のダウンロードサイトには以下の情報が書かれています。

Version 2.1.2a(tar.gz)
  md5:5fd383d06d73f4d45e197411a182f4d0
Version 2.1.2a(zip)
  md5:7eda74bb1d75d0fd68f284aa18587128 

それぞれ、tar と zip のファイルをダウンロードしてハッシュ値を見てみましょう。EC-CUBE のサイトに書かれているハッシュは md5 のものなので、 md5 を使ってローカルでも検証してみます。

$ md5 eccube-2.1.2a.tar.gz
MD5 (eccube-2.1.2a.tar.gz) = 5fd383d06d73f4d45e197411a182f4d0

$ md5 eccube-2.1.2a.zip
MD5 (eccube-2.1.2a.zip) = 7eda74bb1d75d0fd68f284aa18587128

見比べてみると問題なく一致しているので、改竄されている可能性はないでしょう。些細なことですが、万が一このサーバのダウンロードのリクエスト先が何者かに変更されていて、改竄されたモジュールが提供されていたら大問題発生です。ダウンロードファイルが入れ替えられてる可能性もあります。

ファイルを解凍したら Windows のシステムが壊れたというのはかなり昔のウイルスにあったもので、今となってはかわいい方です。もっと怖いのは、このモジュールの php ファイルの一部が改竄されて、商品の購入が発生する度に、顧客情報を外部のサーバに流されるとか、ショッピングサイトとして致命的なダメージを受けてしまうことです。
(情報漏洩とか値段操作とか怖いですね)

改竄がソーシコードのほんの一部分であれば、改竄に気付く人も極めて少ないでしょうね・・・。サイトからダウンロードして、Web サーバの設定をすれば、すぐに利用できるこのパッケージソフトというメリットが、逆に悪い方向に活かされちゃいます。クレジット決済などの外部サービスと連携していれば、外部との通信も許可する可能性も高いのでやられ放題になると思います。

と大袈裟なことを言いつつも何の説得力もありませんが・・・。ホスティングサーバとかにプリインストールされている場合は、まあ、どうしようもないですしね・・・。ダウンロードのリクエストを投げてから、ファイルがクライアントにダウンロードされるまでの間にどのくらい改竄する機会があるのだろ。

フィッシング、リクエスト先の変更、モジュールの差し替え。そもそもサーバが乗っ取られたら md5 の表記も変更できるわけだし。リクエスト先の変更は hosts ファイルの書き換えが事前にいるだろうし。他の方法は知らないだけですが。考え出すとキリがないので、もう少し勉強します。どなたかアドバイス下さい。


参考カテゴリ

オススメ記事

最新の投稿やよく見られているのオススメ記事一覧です。

AmazonLinuxでEC2起動時にスワップ領域の割り当てに失敗

EC2 起動時のスワップ領域割り当てですが、これまでは以下の記事を参考に、/etc/rc.local を使って行っていました。 ・ Amazon EC2(Linux)のswap領域ベストプラクティス しかし、最近になって、EC2 イン...

>>記事を確認する

【5分でできる】Laravel5.4から5.5へバージョンアップ

Laravel5.5 がついにリリースされたので、5.4 ベースで作っていたものをバージョンアップしてみました。 composer.json の以下の部分を 5.5.* に変更するだけですが、依存関係のパッケージも問題なくアップデ...

>>記事を確認する

【30分でできる】AWSのEC2にgoofysを入れてS3をマウント

過去に携わったプロジェクトで、S3FS の通信状態が悪い時があるので、アプリ側のプログラムを AWS SDK を使ったものに置き換えていこうという施策がありました。 S3FS の導入には関わっていなかったので、導...

>>記事を確認する

【30分でできる】ぐるなびAPIで飲食店の店舗情報取得

過去に作成した「ぐるなびAPI」のプログラムや、ぐるなびの Web Service が新しくなったこともあり、API からの情報取得プログラムを書き換えてみました。 以前の記事は下記になります。 ・ ぐるなびAPIで...

>>記事を確認する

NginxのFastCGIキャッシュで白い画面がキャッシュされる

以前から、トップページにアクセスすると、レスポンスステータスは 200 で返ってくるのに、画面に何も表示されない現象が稀に見受けられたので調査してみました。 さすがに機会損失にも繋がるということで、...

>>記事を確認する

Laravel5.4の認証ユーザーのパスワードハッシュについて

Laravel で用意されている認証モジュールを利用する際、ユーザーモデル(User.php)経由で登録されるパスワードのハッシュ方法について調べてみました。 Laravel 上ではパスワード文字列を bcrypt() のヘルパー...

>>記事を確認する

Laravel5.4のコントローラコンストラクタでAuth::user()が取得できない

Laravel5.4 で認証を通したアクセスに対して、コントローラのコンストラクタでユーザモデルの値を取得しようと思ったら、なぜか Auth::user() の値が取得できなくて悩みました。 public function __construc...

>>記事を確認する

NginxのHSTS(HTTP Strict-Transport-Security)の設定

「Let's Encrypt」のおかげで、全サイト SSL 化していますが、これまで nginx の設定では、http のアクセスがあった場合に https に 301 リダイレクトさせていました。 この場合、Googlebot に http のアク...

>>記事を確認する

GoogleMapのAPIキーの認証情報にリファラURL設定

昔は API キーを指定することで、JavaScript で GoogleMap が表示できていましたが、何年か前に、そのキーに対して認証情報の追加が推奨されました。 新規で発行する場合は必須になっているかもしれませんが...

>>記事を確認する

【30分でできる】AmazonLinuxでApache2.4+php7.1+Laravel5.5

先日、「 VagrantでCentOS6.9のイメージを使う 」の通り、CentOS6.9 には Apache2.4 と PHP7.1 で Laravel のフレームワークが使える環境を構築しました。 ただ、将来的には AWS かつ Amazon Linux 上で動か...

>>記事を確認する