Preverjanje celovitosti datotek s Sigcheck: popoln vodnik po korakih

Celovitost datotek je tanka meja med zanesljivim prenosom in resno težavo v računalniku. Preverjanje s pravimi orodji, kot je Sigcheck, je ključnega pomena med brezskrbno namestitvijo in igranjem ruske rulete s programsko opremo. Ta članek vam bo podrobno in brez težav pokazal, kako uporabljati Sigcheck, zgoščene vrednosti in podpise , da zagotovite, da je tisto, kar imate na disku, točno to, kar bi moralo biti.

Poleg Sigchecka bomo obravnavali tudi zgoščevalne funkcije (MD5, SHA-1, SHA-2, SHA-3, BLAKE2/3), kako jih uporabljati v sistemih Windows in Linux brez nameščanja, kako preverjati sezname ter kako uporabljati podpise VirusTotal in PGP , ko ima datoteka končnico .sig ali jo pričakuje vaš upravitelj paketov. Vse to bo razloženo s praktičnim pristopom po korakih in z ukazi, ki jih je mogoče takoj kopirati.

Kaj je Sigcheck in zakaj ga je dobro imeti pri roki?

Sigcheck je pripomoček ukazne vrstice podjetja Sysinternals (Microsoft), ki prikaže različico, časovni žig, digitalni podpis in verigo potrdil datoteke; lahko preveri tudi stanje zlonamerne programske opreme na VirusTotal in celo naloži vzorce, če teh ni. Z drugimi besedami, pove vam, ali je izvedljiva datoteka podpisana in vredna zaupanja ter ali so protivirusni programi zaznali njeno zgoščeno vrednost.

Med njegovimi prednostmi je, da lahko našteje potrdila iz sistemskih shramb, preveri preklice (ali jih na zahtevo onemogoči) in rekurzivno prečka imenike, da išče nepodpisane binarne datoteke. V resničnem scenariju ga boste uporabili za iskanje nepodpisanih datotek v System32 , preverjanje poteka nizov in pridobivanje zgoščevalnih vrednosti za primerjavo z uradnimi viri.

Bistvena sintaksa in ključne možnosti Sigchecka

Izvršljiva datoteka sprejema več kombinacij, začenši s splošno sintakso: sigcheck [možnosti] <datoteka ali mapa> . Spodaj so navedene najbolj uporabne zastavice za vsakodnevno uporabo, vse namenjene pregledu podpisov datotek , zgoščevalnih vrednosti in ugleda .

Izbrane možnosti za izpis in podrobnosti:

• -a: Prikaže razširjene informacije o različici z mero entropije (biti na bajt) vsebine.
• -h: izpiše zgoščene vrednosti datoteke.
• -i: prikazuje katalog in verigo podpisov.
• -m: zavrže manifest.
• -n: izpiše samo številko različice.
• -c/-ct: izhod CSV, ločen z vejicami ali tabulatorji, za avtomatiziraj poročila.

Možnosti za pot in obliko:

• -s: prečka poddirektorije.
• -e: pregleda samo izvedljive slike (prezre končnico).
• -l: sledi simbolnim povezavam in stičiščim.
• -brez pasic: skrije zagonski pas; idealno v tihi skripti.

Integracija z VirusTotal:

• -vtSprejmite pogoje uporabe VirusTotal (obvezno za ogled).
• -v[rs]Poizvedovanje o ugledu po zgoščevalni vrednosti; dodajte »r« za odpiranje poročil z zaznavanjem in »s« za nalaganje neanaliziranih datotek.
• -uČe je VirusTotal omogočen, prikaže neznano ali zaznano; če ni, prikaže samo nepodpisane datoteke.
• -o: Izvaja iskanja VT z uporabo zgoščevalnih vrednosti, ki so bile predhodno zajete v datoteki Sigcheck CSV (način, prijazen do uporabe brez povezave).

Potrdila in preklic:

• -t[u][v]: izpiše vsebino shrambe potrdil; z -tu poizvedujete po uporabniški shrambi, z -tv pa filtrirate po Microsoftovi korenini zaupanja.
• -r: Onemogoči preverjanje preklica (uporabljajte pametno).
• -p: Preveri glede na določen pravilnik podpisovanja (po GUID-u), uporabno v korporativnih okoljih.

Druge uporabne funkcije:

• -d: izpiše vsebino datoteke kataloga.
• -f: Išče podpise v določeni datoteki kataloga.

Klasični primer uporabe za iskanje nepodpisanih binarnih datotek v System32:

sigcheck -u -e C:\\Windows\\System32

Na podlagi tega seznama mirno preučite namen vsakega nepodpisanega predmeta , preden sprejmete kakršne koli odločitve.

Preverjanje integritete in ugleda s Sigcheckom v praksi

Če želite združiti podpise in ugled antivirusnega programa, najprej sprejmite pogoje VT in zaženite poizvedbo, po potrebi naložite vzorce. To vam omogoča navzkrižno primerjavo lokalne kriptografske integritete s kolektivno inteligenco več deset mehanizmov.

Predlagano zaporedje za ugled VT:

1. Sprejmi pogoje: sigcheck -vt <archivo>
2. Preverite in odprite pozitivna poročila: sigcheck -vrs <archivo>
3. Filtriraj neznanke/pozitivne vrednosti v drevesu: sigcheck -u -s -v <carpeta>

To vam omogoča hitro odkrivanje problematičnih izvedljivih datotek, kar okrepi preverjanje integritete in izvora.

Za množične revizije je priporočljivo izvoziti v CSV in delati s preglednicami ali SIEM. -h dobite zgoščene vrednosti in z -ct enostavno razčleniti zavihke: sigcheck -h -ct -s C:\\Rutas\\De\\Interes > inventario.tsvNato lahko uporabite -o v tem CSV/TSV za poizvedbe brez povezave v VT, ko boste spet imeli omrežje.

Zgoščevalne funkcije: kaj so, katere uporabiti in zakaj so pomembne

Zgoščena vrednost je kot digitalni prstni odtis datoteke : če spremenite en sam bit, je njegova končna vrednost popolnoma drugačna. Zato se pogosto uporablja za preverjanje, ali je prenos enak izvirniku, ali za zagotovitev, da forenzični disk ostane nedotaknjen.

Klasični algoritmi in praktični vpliv:

• MD5: zelo hiter in razširjen v svojem času, vendar s trki; ni varen za integriteto nasprotnikov. Vendar je še vedno prisoten v notranjih delovnih procesih, kjer hitrost je najpomembnejša in tveganje je majhno.
• SHA-1: ima tudi težave s trki; pri novih uporabah se je najbolje izogniti.
• SHA-2 (224/256/384/512): Trenutni standard za integriteto in preverjanje pristnosti; SHA-256 je nadomestni znak, ki ga priporočajo proizvajalci in distribucije.
• SHA-3Sodobna alternativa, odobrena s strani NIST, z izhodnimi dolžinami, enakovrednimi SHA-2.
• BLAKE2/BLAKE3: zelo hitro in varno; uporabno, ko potrebujete visoke zmogljivosti za velike količine.

Ne pozabite, da zgoščevalne funkcije delujejo samo v eno smer: shranjevanje gesel kot zgoščevalnih vrednosti zahteva posebne sheme (npr. bcrypt ali Argon2 ), ne pa hitre zgoščevalne funkcije, kot je neojačan SHA-256.

Preverjanje v sistemu Windows brez nameščanja: PowerShell in Certutil

Windows vključuje vgrajena orodja, ki obravnavajo večino primerov. S PowerShellom lahko v sekundi pridobite zgoščeno vrednost in jo primerjate s tisto, ki jo je objavil prodajalec, kar omogoča hitro preverjanje pred namestitvijo.

PowerShell:

Get-FileHash "C:\\Ruta\\archivo.ext" -Algorithm SHA256

Rezultat primerjajte z uradno zgoščeno vrednostjo; če se ujemata, prenos ni bil spremenjen. SHA256 lahko zamenjate s SHA1, SHA384 ali SHA512, odvisno od tega, kaj spletno mesto objavi.

Certutil ( ukazni poziv ali PowerShell):

certutil -hashfile "C:\\Ruta\\archivo.ext" SHA256

Idealen je za skripte in paketno preverjanje; uskladite svoje algoritme z algoritmi, ki jih je proizvajalec navedel na svoji spletni strani.

Preverjanje v Linuxu: cksum, md5sum, sha256sum in validacija seznama

V GNU/Linuxu imate standardne zgoščene vsote v coreutils. Za domačo varnost lahko uporabite cksum (CRC32) , za resnično varnost pa sha256sum/sha512sum. Postopek je enak: izračunate ga lokalno in ga primerjate z objavljeno zgoščeno vrednostjo.

Osnovni ukazi:

• CRC32 Hitro: cksum archivo
• MD5: md5sum archivo
• SHA-256: sha256sum archivo

Alternative sha1sum, sha224sum, sha384sum in sha512sum delujejo enako; izberite algoritem, ki ga navaja vir.

Kontrolni seznami: Ko imate veliko datotek, je bolj priročno delati s seznami .sfv/.md5 itd. Za njihovo preverjanje lahko uporabite cksfv ali cfv , zelo uporabna orodja za terminal.

Primeri s seznami:

• Namestitev cksfv: sudo apt install cksfv
• Preverite seznam: cksfv -g /ruta/lista.sfv
• Ustvari nov seznam: cksfv fichero1 fichero2 > listado.sfv

z cfv Na voljo vam bo obsežna podpora (.sfv, .md5, .par2, .crc, sha1sum, md5sum…):

• Namesti: sudo apt install cfv
• Preverite: cfv -f /ruta/test.sfv
• Ustvari: cfv -C -flista.sfv -tsfv documento.pdf documento2.jpg

Podpisi PGP in datoteke .sig: primer paketov .tar.zst.sig

Če prenesete paket s priloženo datoteko .sig (običajno v distribucijah, kot je Arch), preverjanje ni več preprosto zgoščevanje, temveč kriptografski podpis z uporabo OpenPGP. Cilj je potrditi, da je bila datoteka podpisana z vzdrževalčevim ključem in da ni bila spremenjena.

Kako ročno preveriti z GnuPG:

1. Uvozite javni ključ vzdrževalca ali sinhronizirajte obesek ključev vaše distribucije.
2. Zaženi: gpg --verify paquete.tar.zst.sig paquete.tar.zst

Če GnuPG navede veljaven podpis in ključ pripada zaupanja vrednemu razvijalcu, sta integriteta in avtorstvo zagotovljena. V Archu pacman in makepkg to avtomatizirata z uporabo pacman-key; ročni postopek je enak: preverite, ali se podpis PGP ujema s preneseno datoteko.

Primerjajte datoteke med seboj: Ali je ta kopija enaka izvirniku?

Če želite preveriti, ali je kopirana datoteka zvesta originalu, izračunajte zgoščeno vrednost obeh in ju primerjajte. Če se vrednosti ujemata, je kopija bit za bitom identična . Če se razlikujeta, se je med kopiranjem nekaj spremenilo (poškodba, skrajšanje, urejanje itd.).

Hiter primer:

• Original: sha256sum documento.bin
• Kopirati: sha256sum documento_copia.bin

Z njihovo primerjavo pridobite gotovost, da je postopek (prenos, shranjevanje , stiskanje) ohranil celovitost.

Brezplačna grafična orodja za vse vrste tokov

Če imate raje uporabniški vmesnik, je na voljo nekaj zelo zmogljivih in lahkih pripomočkov. Več jih deluje v sistemih Windows, Linux in macOS, s podporo za več algoritmov in dodatnimi funkcijami, kot so primerjava map, preverjanje katalogov ali ustvarjanje seznamov.

Priporočena izbira:

• QuickHash (Win/Linux/macOS): Odprtokodno, pregleden grafični vmesnik, podpira MD5, SHA-1/2/3, xxHash, BLAKE2/3; vključuje module za besedilo, eno datoteko, več datotek, preverjeno kopijo, primerjavo dveh datotek/map in zgoščena vrednost diska.
• HashMyFiles (Windows, prenosno): generira množične zgoščene vrednosti (SHA*, CRC32, MD5), integrira kontekstni meni in deluje z povleci in spusti.
• multi-hasher (Windows): Zgoščene vrednosti za mape in podmape; podpira CRC32, MD5, RIPEMD-160, SHA-1/256/384/512.
• Pripomoček za kontrolno vsoto MD5 & SHA (Windows): Pridobi in preveri MD5, SHA-1, SHA-256, SHA-512, izvozi v CSV/HTML/TXT.

Še bolj zanimive možnosti:

• HashCalcIzračunava zgoščene vrednosti, kontrolne vsote in HMAC-e; podpira več algoritmov in velike velikosti.
• Preverjanje zgoščene vrednosti MD5: primerja vrednosti in se integrira v kontekstni meni; podpira širok nabor algoritmi.
• Hasher LitePreprosto, povleci in spusti, v brezplačni različici obdela do 100 datotek na paket.
• DeadHashPodpira MD4, MD5, SHA-1/224/256/384/512, RIPEMD160, CRC32; idealno za hitri pregledi.
• Hash Generator: generira družine MD2/3/4/5, CRC32, Whirlpool, RIPEMD, HAVAL; uporabno za osnovno integriteto.
• FCIV (Preverjevalnik integritete kontrolne vsote datoteke)Klasično Microsoftovo orodje za MD5/SHA-1/256.
• Nadzor kontrolne vsote: odprtokodna in večplatformska (Win/macOS/Linux) za MD5 in SHA-1.

HashCheck v sistemu Windows: integracija z Explorerjem

HashCheck doda zavihek »Kontrolna vsota« v lastnosti datoteke v sistemu Windows, ki prikazuje vrednosti CRC-32, MD4, MD5 in SHA-1. Od tam lahko shranite datoteko za preverjanje in ko jo pozneje odprete, vam bo program povedal, ali je bila datoteka spremenjena od ustvarjanja zgoščene vrednosti.

Tipičen pretok:

1. Lastnosti datoteke > zavihek Kontrolna vsota > Shrani seznam.
2. Datoteko uredite (ali jo zamenjate) in znova odprete seznam.
3. HashCheck označi neskladja z rdečo (napačno), če zazna spremembe. To je zelo priročen način za revizijske mape skupaj z eno samo kontrolno datoteko.

Onkraj integritete: kdaj in zakaj uporabiti posamezen pristop

Uporabite zgoščene vrednosti , ko vaša izvorna koda objavi pričakovano vrednost; preprosto preračunajte lokalno in primerjajte. Uporabite podpise PGP , ko distribucija ali projekt objavi datoteke .sig ali javne ključe vzdrževalca. Če sumite na izvedljivo datoteko, združite digitalni podpis z VirusTotal, da povečate ugled in zaupanje.

Druge uporabe zgoščevalnih vrednosti v resničnem svetu:

• Preverite forenzične verige skrbništva in dokaze.
• Zaznaj podvojene datoteke (enaka zgoščena vrednost, ista vsebina) in jih shrani prostor.
• Varnost sporočil in dokumentov z digitalnimi podpisi (hash + šifriranje zasebnega ključa).
• Zaznavanje zlonamerne programske opreme s strani podatkovnih baz podpisov (znanih zgoščevalnih vrednosti groženj).

Tveganja, trčenja in dobre prakse

Čeprav sta MD5 in SHA-1 pokazala kolizije, vas uporaba SHA-256/512 ali SHA-3 reši iz tega sivega območja. Pri geslih se izogibajte hitrim zgoščenim vrednostim (hash) in uporabljajte počasne algoritme za izpeljavo (bcrypt, scrypt, Argon2). Vedno preverite prek HTTPS in iz uradnih virov, da se izognete manipuliranim zgoščenim vrednostim na goljufivih spletnih mestih.

Če potrebujete zmogljivost, sta BLAKE2/BLAKE3 odlična, v forenzičnih preiskavah pa se MD5+SHA-1 včasih izračuna za hitrost in združljivost s starejšimi orodji , tudi če poznamo njegove kriptografske omejitve.