softwaresecurity

下载哈希匹配，也仍可能让你下载到错误的软件。
校验和回答的是：“这个文件是否与此参考值匹配？”它没有回答：“这个参考值是谁提供给我的？”
如果攻击者同时替换安装程序和旁边的哈希值，两者就能完美匹配。包裹附带的手写收据，并不能算独立验证。
Bitcoin Core 的下载说明将文件校验和与校验和列表上的签名分开处理。这种区分在比特币之外也很有用。
- 从项目的官方下载页面开始，通过可信的书签访问，或独立核实网址。

Notepad++确认基础设施漏洞允许攻击者在2025年6月至12月之间将更新重定向到恶意服务器，影响部分用户。
Notepad++背后的开发者，世界上最受欢迎的文本编辑器之一，披露了一起复杂的六个月网络攻击，该攻击危及了软件的更新基础设施。安全专家将这一漏洞归因于一个中国国家支持的威胁组织，该组织选择性地将用户重定向到恶意服务器。
根据X上的《网络新闻》，黑客劫持了Notepad++更新服务器，将用户重定向到恶意基础设施。该漏洞利用了旧版本在8.8.9版本发布之前验证更新包时的弱点。