softwaresecurity

下載哈希匹配，也仍可能讓你下載到錯誤的軟件。
校驗和回答的是：“這個文件是否與此參考值匹配？”它沒有回答：“這個參考值是誰提供給我的？”
如果攻擊者同時替換安裝程序和旁邊的哈希值，兩者就能完美匹配。包裹附帶的手寫收據，並不能算獨立驗證。
Bitcoin Core 的下載說明將文件校驗和與校驗和列表上的簽名分開處理。這種區分在比特幣之外也很有用。
- 從項目的官方下載頁面開始，通過可信的書籤訪問，或獨立覈實網址。

Notepad++確認基礎設施漏洞允許攻擊者在2025年6月至12月之間將更新重定向到惡意服務器，影響部分用戶。
Notepad++背後的開發者，世界上最受歡迎的文本編輯器之一，披露了一起復雜的六個月網絡攻擊，該攻擊危及了軟件的更新基礎設施。安全專家將這一漏洞歸因於一箇中國國家支持的威脅組織，該組織選擇性地將用戶重定向到惡意服務器。
根據X上的《網絡新聞》，黑客劫持了Notepad++更新服務器，將用戶重定向到惡意基礎設施。該漏洞利用了舊版本在8.8.9版本發佈之前驗證更新包時的弱點。