Door The FOSS: De http download links zijn echter op zich niet zo erg (want je controleert immers het downloaded bestand immers met SHA256) Die beide bestanden (ISO en file met hashes) heb jij dan, waarschijnlijk - maar niet noodzakelijkerwijs, geheel gedownload vanaf één en dezelfde server. 1) Dat is niet noodzakelijkerwijs het geval: een MITM met toegang tot jouw verbinding met de echte releases.ubuntu.com kan een (evt. heel klein) deel van het ISO bestand -on the fly- hebben gewijzigd, en daarmee een backdoor hebben gecreëerd. En ook van het SHA256Ssums bestand hoeft de MITM alleen maar de hash van de ISO aan te passen om die weer te laten kloppen, maar gemakshalve zal de aanvaller vermoedelijk dat hele bestand vervangen door haar versie. Toegegeven, het scenario van "on-the-fly" aanvallen ligt niet zo voor de hand - tenzij je iets te vrezen hebt van één of meer "state level actors". Indien die twee bestanden daadwerkelijk zijn gedownload vanaf één en dezelfde server, heb je te maken met in elk ...