Como posso baixar o Mercurial e ter uma cópia não tratada?

Question

Gostaria de baixar o Mercurial, (não a versão do "Tortoise"), mas só posso encontrar o link para download link que não é um link HTTPS. O download desse arquivo me fornece um EXE "Editor Desconhecido" não assinado.

Como posso ter certeza de que tenho uma cópia não tratada da ferramenta deste programador?

Note que esta questão não é criticar os editores do Mercurial. Eu só estou querendo saber como outros usuários do Mercurial verificam se eles têm um bom download antes de executar o instalador.

    

Answer 1

Geralmente, a validade de qualquer arquivo fornecido pode ser dada por uma soma de verificação MD5, portanto, veja se você pode encontrar uma soma MD5 aceitável publicada para o arquivo que deseja e verifique o MD5 para seu arquivo específico após o download. A publicação de somas MD5 é uma prática bastante comum para muitas coisas, especialmente aquelas de código aberto como essa.

Em vez disso, como @KeithThompson aponta que SHA1 é melhor, é importante saber que MD5 e SHA1 podem ser forjados em precisão, portanto, técnicas criptográficas mais complexas darão um maior nível de garantia, mas não vejo nenhuma assinatura publicada do MD5, SHA1, ou técnicas mais complexas de qualquer tipo, então minha sugestão é confiar na combinação MD5 / SHA1 graças ao comentário de Keith Thompson de:

e886b2d2469c848efd67af4c2b63d9d5 (md5)

a2f690fa544adac01fc9d8c66685129ac2d02cb1 (sha1)

Eu imagino que seria mais difícil forjar um arquivo para corresponder a ambos os algoritmos hash do que apenas um, então há uma pequena ajuda. Isto é, se confiarmos em Keith Thompson ...;)

    

Answer 2

Os que estão no repositório Bitbucket do TortoiseHG (note que há também o Mercurial simples, com o nosso THG) parecem ter uma validade assinatura digital, pelo menos o .msi (no entanto, você pode baixar tudo via HTTPS). É estranho que não haja sequer um checksum no site da Mercurial.