Masz prawie całkowitą rację. Jedyną poprawką jest to, że są skrótami całego pliku.
Czasami pliki mogą zostać uszkodzone podczas pobierania bez względu na sposób ich przesłania. Istnieją skróty, aby upewnić się, że plik jest nienaruszony. Jest to szczególnie przydatne dla użytkowników ze złym połączeniem internetowym. Kiedy korzystałem z modemu faksu, często miałem problemy z uszkodzonymi plikami do pobrania.
Niektóre menedżery pobierania (np. GetRight, o ile dobrze pamiętam), mogą nawet automatycznie obliczyć skrót pliku i porównać go ze znaną wartością.
Kolejnym interesującym punktem jest bezpieczeństwo. Potencjalnym problemem związanym z narzędziami typu open source jest to, na ile możesz zaufać dystrybutorowi. Często programy, takie jak Eclipse, są głównym narzędziem wykorzystywanym przez firmy produkujące oprogramowanie, dlatego niezwykle ważne jest dla nich przejście od programisty do użytkownika w stanie nienaruszonym. Ponieważ programy są typu open source, możliwe jest na przykład zrobienie zainfekowanej wersji, która wyglądałaby normalnie, ale wyciek kodu źródłowego na jakiś zdalny serwer lub zainfekowanie programów stworzonych przez oprogramowanie wirusem (myślę, że tak się stało z pewną wersją Delphi) lub coś podobnego. Z tego powodu ważne jest, aby mieć oficjalny poprawny skrót, którego można użyć do sprawdzenia, czy rozpowszechniany plik jest tym, co rzekomo ma być.
Kilka przemyśleń na temat kanałów dystrybucji. Często darmowe oprogramowanie można znaleźć na wielu stronach, a najpopularniejsze strony, takie jak SourceForge, na przykład mają dużą liczbę kopii lustrzanych. Załóżmy, że w Barland jest serwer, który odzwierciedla dużą witrynę dystrybucji oprogramowania. FooSoft korzysta z programu rozpowszechnianego przez witrynę i znajdują się w Republice Baz, która znajduje się tuż obok Barland. Jeśli ktoś chciałby infiltrować FooSoft, mógłby zmodyfikować tylko kopię w lustrze Barland i mieć nadzieję, że oprogramowanie geolokalizacyjne upewni się, że FooSoft otrzyma zmodyfikowane wersje. Ponieważ wersje z innych serwerów lustrzanych są w porządku, istnieje mniejsze prawdopodobieństwo wykrycia złośliwego oprogramowania. Możesz również sprawić, że złośliwe oprogramowanie wykryje adres IP komputera i aktywuje się tylko, jeśli pochodzi z określonego zakresu, a tym samym mniejsze szanse na wykrycie i tak dalej.