Door Erik van Straten: Volgens Kaspersky Lab moeten downloadsites die geen PGP of digitale signeercertificaten gebruiken, zodat hun gebruikers de authenticiteit van de aangeboden downloads kunnen controleren, opnieuw bekijken of dit toch niet noodzakelijk is. Zinloos! Dat helpt geen zier tegen kwaadaardige sites, en bovendien horen niet downloadsites digitale handtekeningen te zetten, maar de makers van de betreffende software! Kasperksy zegt niet dat die checksum ook gehost moet worden op de downloadpagina zelf (want dat is inderdaad een slecht idee), maar slechts dat deze gecontroleerd moeten kunnen worden door de eindgebruiker. Authenticode is één manier om dat te doen. Maar dat is natuurlijk ook op andere manieren (PGP WoT, repo servers) te verwezenlijken. Overigens zijn die digitale handtekeningen allemaal leuk en aardig, maar zonder deterministische/reproducable build weet je alsnog niet 100% zeker of de betreffende source code (hetzij alleen in handen van de dev, of open source) ook zonder ...