Ao ir ao Oracle'ssite de downloadpara baixar o JDK para EE, o download é feito por HTTP (não HTTPS) e o executável não está assinado. Pelo que sei, também não há hashes SHA1 publicados, portanto não tenho como verificar se o código não foi alterado.
Alguém sabe uma maneira de verificar isso ou a Oracle não forneceu nenhuma maneira de garantir que isso seja seguro?
Responder1
Obviamente, essas coisas do MD5 estão fora da vista da maioria dos grandes fornecedores de software. Se você acessar os sites da Oracle, IBM e Microsoft, não haverá assinaturas MD5 disponíveis. Mesmo para os produtos mais caros! Acho que eles não levam esse risco tão a sério quanto você.
De qualquer forma, parece haver uma solução alternativa.Olexparece fornecer downloads assinados para vários produtos de código aberto/freeware, eo JDKestá no pacote!