如何檢測Linux系統(tǒng)已下載文件的完整性(2)

　　SHA1校驗

　　原理： 原理同MD5一樣，都是通過對文件進行HASH求值，比對文件發(fā)布者發(fā)布的HASH值，通過是否相等判斷文件是否被篡改

　　說明： SHA1 HASH求值方法可以說是MD5的一個升級版本（SHA1 20位，MD5 16位），在HASH求值方面，MD5退出的舞臺將有SHA1占據(jù)。SHA家族有五個算法：SHA-1、SHA-224、SHA-256、SHA-384，和SHA-512，后四種有時候稱為SHA2

　　使用： CentOS有SHA1的命令： sha1sum

　　代碼如下：

　　# 說明同上

　　# 直接輸出SHA1 Hash

　　$ sha1sum your-downloaded-file-name

　　12dc96cbd822598c1230c87622f3591461a77227 your-downloaded-file-name《/p》 《p》# 將SHA1 Hash值保存到文件中

　　$ sha1sum your-downloaded-file-name 》 sha1-hash.txt

　　# 顯示文件內(nèi)容

　　$ cat sha1-hash.txt

　　12dc96cbd822598c1230c87622f3591461a77227 your-downloaded-file-name《/p》 《p》#通過sha1-hash.txt來校驗我們下載的文件your-downloaded-file-name

　　# 注意，文件必須要要通過txt文件中的路徑知道哦

　　$ sha1sum -c sha1-hash.txt

　　your-downloaded-file-name： OK

　　這個SHA1和MD5基本一致，需要補充說明下的是，在使用 md5sum 也好，還是 sha1sum 也罷，校驗文件的時候，務(wù)必要讓系統(tǒng)能夠根據(jù)文件中提供的路徑找到文件，如果文件找不到，是沒有辦法進行校驗的。

　　如果是做多個文件的Hash校驗，可以通過一個文件保存多個文件的Hash值即可。

　　PGP校驗

　　原理：使用非對稱加密，程序生成唯一的密鑰對（公鑰和私鑰：Public Key和Private Key/Secret Key）。操作方法如下：

　　1.發(fā)布者通過用生成的密鑰對中的私鑰對要發(fā)布的文件進行簽名，得到簽名文件（sign）；

　　2.發(fā)布者將密鑰對中的公鑰發(fā)布到公鑰服務(wù)器；

　　3.發(fā)布者將文件和用私鑰生成的簽名一起發(fā)布；

　　4.驗證者下載發(fā)布者發(fā)布的文件和簽名；

　　5.使用PGP的程序獲取的發(fā)布者第二步發(fā)布的公鑰；

　　6.使用公鑰校驗文件簽名

　　說明：簽名算法中，密鑰的用處分別是：公鑰用于加密信息和驗證，私鑰用于解密和簽名。私鑰掌握在信息發(fā)布方，公鑰可以任意分發(fā)。信息發(fā)布方用密鑰進行對信息進行簽名，接收方在獲取公鑰后，可以用公鑰對發(fā)布方發(fā)布的信息+簽名進行驗證。如果驗證失敗則認(rèn)為信息被篡改。在網(wǎng)絡(luò)中，我們經(jīng)常碰到的HTTPS協(xié)議，使用了同樣的機制。

　　使用：由于PGP是商業(yè)應(yīng)用程序，在CentOS/Linux中，具有同類功能的是GPG（也就是：GnuPG），同樣遵守OpenPGP數(shù)據(jù)加密標(biāo)準(zhǔn)（ RFC 4880 ），沒有安裝可以用 yum install gnupg 安裝，命令是： gpg

　　代碼如下：

　　# 說明同上

　　# 由于過程相對復(fù)雜，并且在實際使用中，校驗用的比較多，因此這里只介紹文件的校驗過程。

　　# 在獲得文件和簽名時，我們先用gpg校驗簽名，此時文件必須存在

　　$ gpg --verify downloaded-file-sign.asc