Есть ли смысл проверять контрольные суммы при загрузке файлов?

есть

/thread

Но разве браузер сам все суммы не проверяет, пока загружает файл по http или ftp?

а откуда браузеру с чем сравнивать чексумму загруженного файла?

Так TCP же, он вроде и суммы проверяет и что только не делает

А вдруг у тебя MitM, и ты думаешь что скачиваешь сорцы последнего ядра, а на самом деле качается ЦП? Что тогда?

От MitM разве что подписи проверять через gpg придётся. Кстати, а придётся ли, если качаешь с https?

Да, если стоит задача проверки целостности и достоверности полученной информации при отсутствии автоматического контроля.
В нормальных дистрибутивах нормальных ОС этим занимается пакетный менеджер в автоматическом режиме.
То же самое касается проверки цифровой подписи.

Так разве TCP не гарантирует целостность? А https достоверность?

Контрольные суммы для пакетов, а если после приема файл не правильно соберется из-за битой памяти или глюка в браузере или еще чего?

Хм, спасибо, убедил.

Над TCP в рамках OSI есть ещё несколько уровней.
Целостность может нарушиться из-за какого-нибудь бага загрузчика.
А доверенные ЦС время от времени выпускают всякую лажу.
Конечно, это дело пресекается, но не всегда достаточно оперативно.

В TCP чексумма 16 битов. Т.е. вероятность того, что придёт искажённый пакет, совпадающий с исходным по чексумме — 1/65536. Если у тебя случайно искажается каждый сотый пакет, то за несколько миллионов TCP пакетов один вполне вероятно будет искажён, но его чексумма совпадёт и сетевой стек его примет, как валидный. Миллион TCP-пакетов это примерно 1 гигабайт. У меня, скажем, трафик за месяц может быть сто гигабайтов, т.е. событие совсем ненулевой вероятности.

HTTPS всё гарантирует, да, через HTTPS можно не проверять.

Но, как уже сказали, могут быть и другие ошибки. У байта долгий путь от провода до сектора на жёстком диске и на любом этапе может быть баг в ОС, драйвере, браузере, прошивке и бог знает где ещё.

А вдруг у тебя MitM, и ты думаешь что скачиваешь сорцы последнего ядра, а на самом деле качается ЦП? Что тогда?

А что мешает тому мену, если уж он подменил сорцы ядра, подменить и контрольные суммы?

Немножко интересного почти оффтопа:

«Как я искал (и нашел) разницу в двух побайтово идентичных файлах»

http://habrahabr.ru/company/infopulse/blog/274183/

через HTTPS можно не проверять.

толсто

Проверять нужно всегда.

толсто

Почему?

Во-первых ты можешь скачать файл с зеркала. Во-вторых, если есть подозрения, что файл битый, то быстрее проверить контрольную сумму, чем перекачивать.

напиши расширение для браузера

HTTPS всё гарантирует, да, через HTTPS можно не проверять.

Не совсем всё гарантирует. От случая взлома веб-серверов раздачи гарантирует только сверка цифровой подписи (man pgp) заранее полученным публичным ключом мейнтейнера.