Verificar la integridad de un componente

Una huella (un resumen criptográfico del archivo, por ejemplo SHA-256) cambia por completo si cambia un solo byte. Si la huella que calculaste coincide con una publicada, el archivo es el mismo que el de esa publicación. Pero eso depende de quién publicó la huella: si está en el mismo sitio de descargas que el archivo, quien alterara uno puede haber alterado la otra.

Por eso se compara con la huella que el proveedor dio por otro canal: un boletín al contacto del contrato, un anuncio firmado, un aviso por otra vía.

Se compara cada descarga con el boletín: la huella calculada debe ser igual a la que el proveedor comunicó por el canal separado. Aquí las huellas se muestran como los primeros 16 caracteres del resumen. Para leer y comparar alcanza; una verificación real compara el resumen completo.

La tabla del boletín trae lo comunicado, y la de descargas, lo que se calculó y lo que mostraba el sitio.

Un archivo con la huella equivocada importa por dónde llegó: si no se ha instalado, el daño es un archivo; si se instaló, hay que revisar un sistema. La tabla de descargas dice en qué sistema se bajó cada archivo. Con eso se sabe dónde mirar si la sospecha se confirma.

Además de la huella, un archivo puede venir firmado por el proveedor. Verificar la firma comprueba dos cosas: que el contenido no cambió después de firmarse y que quien firmó es quien dice ser. Una firma válida no dice que el contenido sea benigno, y una que falla solo dice que contenido y firma no encajan, no por qué.

La tabla de firmas trae el estado de cada archivo.

Un archivo que no cuadra con lo que el proveedor comunicó no se instala ni se ejecuta, ni siquiera para ver qué hace: eso se hace en un entorno aislado y con una persona preparada, no en un equipo de la organización. Se conserva tal cual, con su huella y la hora, y se pregunta al proveedor por su canal firmado cuál es el archivo correcto.

Descargarlo otra vez del mismo sitio hasta que cuadre solo comprueba que el sitio devuelve lo mismo, y destruye la pista de lo que llegó la primera vez.