Windows bevat, out of the box, geen programma's om cryptografische hashes van bestanden mee uit te rekenen, zoals md5sum, sha1sum en sha256sum. Voor degenen die niet precies weten wat een cryptografische hash is: [1] is wat oud maar geeft een helder overzicht. Nu kun je dergelijke programma's downloaden, maar deze zijn zelden voorzien van een Authenticode signature (die je kunt en hoort te controleren voordat je zo'n programma de eerste keer start). En als er al hashes van gepubliceerd worden (hopelijk niet op dezelfde server als waar de downloads staan), zit je met een kip-ei probleem... Het programma fciv.exe van Microsoft (te downloaden via [2]), is wel voorzien van een Authenticode signature. Echter, de download en het uitgepakte programma zijn 10 jaar geleden digitaal ondertekend, de timestamp gebruikt MD5 als handtekening en onderin de dialoogbox met details over het code-signing certificaat zie ik, achter Extended Error Information: "Revocation Status : The revocation function was unable to check ...