قد يقودك ملف تنزيل ذو تجزئة مطابقة إلى البرنامج الخطأ.

يجيب المجموع الاختباري عن السؤال: «هل يطابق هذا الملف القيمة المرجعية؟» لكنه لا يجيب عن السؤال: «من أين حصلت على هذه القيمة المرجعية؟»

إذا استبدل مهاجم كلاً من برنامج التثبيت والتجزئة الموجودة بجانبه، فسيبدوان متطابقين تمامًا. وصول طرد ومعه إيصال مكتوب بخط اليد لا يُعد تحققًا مستقلًا.

تفصل تعليمات التنزيل الخاصة بـ Bitcoin Core بين المجاميع الاختبارية للملفات والتوقيعات على قائمة المجاميع الاختبارية. وهذا تمييز مفيد خارج نطاق Bitcoin أيضًا.

- ابدأ من صفحة التنزيل الرسمية للمشروع، بعد الوصول إليها عبر إشارة مرجعية موثوقة أو عنوان تحققت منه بشكل مستقل.

- نزّل الإصدار وقائمة المجموع الاختباري وملف التوقيع وفقًا لتعليمات المشروع. في Bitcoin Core، هذه الملفات هي SHA256SUMS وSHA256SUMS.asc.

- حدّد مفاتيح التوقيع التي تثق بها. تحقّق من بصماتها بمقارنتها بمرجع موثوق ومستقل؛ فاستيراد مفتاح من الصفحة المشبوهة نفسها لا يثبت هويته.

- تحقّق من التوقيع على قائمة المجموع الاختباري. ثم احسب تجزئة SHA-256 للملف الذي نزّلته، وقارن كل محرف بالمدخل المناسب.

لا تتعامل مع تحذير التوقيع كأنه زينة تتناثر في الطرفية. افهم ما إذا كانت المشكلة مفتاحًا غير معروف، أو عدم تطابق في البصمة، أو فشلًا في التوقيع قبل تشغيل أي شيء.

يربط التوقيع الصحيح التجزئة المرجعية لملف بمفتاح توقيع. لكنه لا يثبت خلو البرنامج من الأخطاء، ولا أن المفتاح لم يتعرض للاختراق قط.

العُرف المفيد هو التحقق من البايتات ومن هوية الجهة التي تقف وراء المرجع معًا. «التجزئة متطابقة» مجرد فحص واحد، وليست المراجعة الأمنية بأكملها.

$BTC

#SoftwareSecurity #BitcoinCore