Допустим, я хочу получить образы ISO для CentOS. Если вместо прямой загрузки образов ISO с зеркального сервера, я просто скачаю файл .torrent с того же сервера, а затем использую клиент BitTorrent, есть ли вероятность, что образы могут быть намеренно повреждены?
решение1
Если вы получаете торрент-файл из надежного источника, повредить изображения невозможно.
Файл torrent содержит достаточно информации для безопасной проверки каждого фрагмента конечного изображения. Когда ваш клиент получает каждый фрагмент файла изображения, он проверяет его по набору хэшей (или дереву Меркла) в файле torrent. Недействительные фрагменты отбрасываются и извлекаются снова из другого источника. Источники, которые продолжают отправлять вам недействительные данные, заносятся в черный список.
Однако возможно сделать загрузку торрент-файла очень сложной для кого-либо, создав большое количество поддельных клиентов, которые обслуживают поврежденные фрагменты. Клиент будет выбрасывать каждый поврежденный фрагмент и заносить в черный список поддельных клиентов так быстро, как только сможет. Но это все равно может сделать загрузку торрент-файла непрактично медленной, если злоумышленник достаточно решителен.
См. статью в ВикипедииТоррент-файлы, в частности клавиши piecesили root hash.
решение2
Преимущество торрента в том, что куски по 512 байт могут быть повреждены, но поскольку это источники из разных источников, один плохой кусок по 512 байт не приведет к повреждению всего файла размером 600 МБ. Вместо этого плохая сумма MD5 плохих 512 байт удаляется и берется из альтернативного маршрутного узла. Это позволяет использовать неотъемлемое преимущество торрента для загрузки, точно больших файлов.
Это означает, что список торрент-серверов из подлинного источника (особенно через HTTPS) всегда будет иметь значение доверия 1:1.
Конечно, вы всегда должны проверять MD5 или SHA1 (или другие хэши), чтобы убедиться в истинной точности загруженного файла.
Согласно рекомендациям Tails Linux (tails.boum.org), вам следует (если вы совсем уж параноидально настроены) загружать один и тот же файл несколько раз, чтобы убедиться, что вы можете генерировать одинаковые хеши MD5/SHA1, и ДОВЕРЯТЬ серверам, с которых вы загрузили файл Torrent Action.