Systemvoraussetzung

• Linux
• Windows
• PHP 4 >= 4.2.0
• PHP 5

Datei(en)

md5.php

Problem

Sie haben im vorangegangenen Beispiel gesehen, wie Prüfsummen von Dateien erstellt werden können. Diese Methode ist allerdings nur für die Übermittlung von Daten geeignet, also ob sie vollständig übertragen wurden.

Wenn Sie einen wirklichen Schutz benötigen, also hundertprozentig sicher sein wollen, dass Ihre Dateien nicht manipuliert wurden, müssen Sie auf eine kryprografische Hash-Funktion wie z. B. MD5 zurückgreifen.

Sicher ist Ihnen das ein oder andere Mal aufgefallen, dass Webseitenbetreiber, die eine Software zum Download anbieten, in Klammern einen MD5-Code mit angeben. Hierbei handelt es sich um die Prüfsumme – der Webseitenbetreiber will damit sicher gehen, dass jede Person, die diese Datei besitzt (auch wenn Sie nicht direkt von der eigenen Website, sondern von einem Mirror geladen wurde), auch wirklich die originale Datei vorliegen hat und keine manipulierte Datei, die z. B. einen Virus enthält.

Lösung

Wie erwähnt müssen wir bei dieser Problemstellung auf die kryprografische Hash-Funktion zurückgreifen. In unserem Beispiel werden wir daher mittels MD5 (Message Digest Algorithm 5) eine derartige Prüfsumme erstellen.

MD5 ist eine weit verbreitete kryptografische Hash-Funktion, die einen 128-Bit-Hash-Wert erzeugt. Wie auch im vorherigen Beispiel werden wir jeweils für eine Datei eine Prüfsummendatei erzeugen, allerdings müssen Sie diese Prüfsumme online neben oder unter Ihrer Downloaddatei selbst einpflegen. Die erstellten Dateien sind lediglich für Sie, damit Sie jederzeit die MD5-Prüfsumme zur Hand haben.

Natürlich könnten Sie auch die sfv-Datei mit der Prüfsumme zum Download anbieten, in der Regel wird es aber nicht gemacht. Mit der Prüfsumme von Ihrer Webseite kann man jetzt Ihre Software von einem beliebigen Server weltweit downloaden und überprüfen, ob es sich um die original von Ihnen erstellte Datei handelt.

Inhalt der .md5.sfvDatei

In unserem Beispiel wurde die Prüfsumme wie folgt erstellt:

Zu prüfende Datei: pecl5.1.2Win32.zip

MD5-Prüfsumme: 09571722fd44bec411a64eca8ca383ae

Die ersten drei Zeilen sind nur Kommentarzeilen, die beinhalten, wer die Datei erstellt hat und wann sie erstellt wurde. Die vierte Zeile ist das eigentliche Kernstück der Datei. Zum einen beinhaltet sie den Dateinamen unserer zu prüfenden Datei und zum anderen die MD5Prüfsumme als hexadezimale Repräsentation. Beide Werte sind lediglich mit einem Leerzeichen voneinander getrennt.

function createMD5($file)
   @param   string   $file
   @return   mixed

Die Function createMD5() erwartet als einzigen Parameter den Dateinamen für die Prüfsummenerstellung. Diese könnte z. B. eine ausführbare Datei sein, also z. B. ein Setupprogramm für Ihre Software.

Im ersten Schritt wird überprüft (34), ob die angegebene Datei existiert. Sollte die Prüfung erfolgreich sein, wird anhand der Funktion md5_file() (36) direkt eine MD5-Prüfsumme erstellt. Alternativ könnten Sie hier auch mit der Funktion md5() arbeiten, dieses erfordert aber ein paar Programmzeilen mehr bei der Erstellung der Prüfsumme.

Im nächsten Schritt erstellen wir unsere sfv-Datei mit den Informationen (38-41) für eine spätere Prüfsummenvalidierung. Wichtig ist hierbei, dass wir nur den Dateinamen (41) in die sfv-Datei speichern. Daher extrahieren wir mit basename() den Dateinamen aus unserem eventuellen Pfad.

Getrennt von einem Leerzeichen wird unsere MD5-Prüfsumme in hexadezimaler Darstellung mit in die Datei gespeichert. Zum Schluss erstellen wir eine neue sfv-Datei (43-45), die als Dateinamen unseren ursprünglichen Dateinamen und als Dateiendung md5.sfv enthält. Die Funktion gibt bei Erfolg die MD5-Prüfsumme zurück (47), ansonsten FALSE.

function checkMD5($file)
   @param   string   $file
   @return   mixed

Die Funktion checkMD5() erwartet als einzigen Parameter den Dateinamen der md5.sfv-Datei. Diese beinhaltet den Dateinamen für die zu prüfende Datei sowie die MD5-Prüfsumme. Wieder überprüfen wir zuerst, ob die md5.sfv-Datei vorhanden ist (65), bevor wir diese einlesen (67). Die Funktion file() liest unsere sfv-Datei zeilenweise in ein Array ein.

Da wir wissen, dass unsere Zeile an der vierten Position ist und somit im Array den Index 3 hat, ist es jetzt kein Problem, den Wertebereich auszulesen. Wir trennen also unsere Zeile anhand des Leerzeichen mit der Funktion explode() (68) und erhalten als Ergebnis ein Array mit zwei Einträgen.

Im Index 0 (Null) des Arrays befindet sich unser Dateiname und im Index 1 (Eins) unsere MD5-Prüfsumme. Nachdem wir überprüft haben, ob die zu prüfende Datei vorhanden ist (10), können wir jetzt direkt mit der Funktion md5_file() die Prüfsumme der angegebenen Datei erstellen und in die Variable $md5 (72) einlesen.

Wir vergleichen (74) im nächsten Schritt die gerade erstellte MD5-Prüfsumme mit der Prüfsumme aus unserer md5.sfv-Datei. Obwohl die Funktion md5_ file() einen String zurückgibt, würde der direkte Vergleich scheitern. Aus diesem Grund setzen wir explizit die gerade erstellte Prüfsumme mit settype() auf „string“ und prüfen die beiden Werte.

Sollte der Vergleich erfolgreich sein, wird die Funktion TRUE zurückliefern, also dass die Datei nicht beschädigt ist, ansonsten FALSE.

Bei der Überprüfung ist es völlig egal, welchen Dateityp Sie überprüfen möchten. Sie sollten allerdings die md5.sfv-Dateien an einem sicheren Ort aufbewahren, da diese die Prüfsummen enthalten. Jeder Besucher Ihrer Webseite, vorausgesetzt Sie listen die MD5-Prüfsumme bei Ihren Downloads mit auf, kann jetzt selbst prüfen, ob es sich bei der Datei um die original erstellte Datei handelt.

Wie Sie sehen, kann man mit wenig Aufwand eine sichere Überprüfung vornehmen. Sie können die Darstellung der Ausgabe selbst beeinflussen. Je nachdem erhalten Sie von den Funktionen entweder TRUE bei Erfolg, die Prüfsumme oder FALSE bei Misserfolg zurückgeliefert.