أداة فحص هاش MD5 وSHA‑256

المجموع الاختباري، ويُسمّى أيضًا الهاش، هو سلسلة قصيرة من الحروف والأرقام تُحسب من كل بايت في الملف. يعطي الملف نفسه دائمًا المجموع الاختباري نفسه، وتغيير بايت واحد فقط يعطي نتيجة مختلفة تمامًا. وهذا ما يجعله بمثابة بصمة لمحتوى الملف.

يُدرج ناشرو البرامج المجموع الاختباري بجانب ملفات التنزيل. فإذا حسبت المجموع الاختباري للملف الذي نزّلته وتطابق مع المنشور، فأنت تعرف أن لديك الملف نفسه الذي نشروه تمامًا، لا نسخة تالفة أو معدّلة.

• تنزيلات تالفة: قد يتلف انقطاع الاتصال أو عطل في القرص ملفًا كبيرًا دون أي رسالة خطأ. وغالبًا ما تفشل صورة ISO التالفة في منتصف التثبيت، بعد أن تكون قد نسيت من أين حصلت عليها.
• ملفات تم العبث بها: يمكن للمهاجمين الذين يخترقون خادم تنزيل بديلًا (mirror) أن يستبدلوا الملف بآخر يحتوي على برمجيات خبيثة. ففي عام 2016، اختُرق موقع Linux Mint وأصبح رابط التنزيل يشير إلى ملف ISO يحتوي على باب خلفي.
• الملف الخطأ: يكشف التحقق من المجموع الاختباري أيضًا الخلط بين الإصدارات، مثل نسخة ARM بدلًا من x64، أو إصدار قديم قادم من ذاكرة تخزين مؤقت.

1. أفلت الملف الذي نزّلته في الأداة أعلاه، أو انقر لاختياره.
2. انسخ المجموع الاختباري من صفحة التنزيل والصقه في حقل المجموع الاختباري المتوقع.
3. ستخبرك الأداة ما إذا كانا متطابقين. وهي تتعرّف على MD5 وSHA‑1 وSHA‑256 وSHA‑512 من طول المجموع الاختباري.

يمكنك أيضًا لصق سطر كامل من ملف المجاميع الاختبارية، مثل 9f86d0...0a08 *ubuntu.iso، وستستخرج الأداة المجموع الاختباري منه تلقائيًا.

لماذا هي آمنة للملفات الخاصة

ترفع معظم حاسبات الهاش عبر الإنترنت ملفك إلى خوادمها أولًا. أما هذه الأداة فتستخدم قدرة المعالجة في متصفحك نفسه لقراءة الملف على أجزاء صغيرة، فلا يغادر أي شيء جهازك. وهذا يعني أيضًا أنك لا تنتظر أي رفع، وأن الملفات الكبيرة جدًا تعمل بلا مشكلة.

يتضمن Windows أداة لحساب المجموع الاختباري مدمجة في PowerShell. افتح PowerShell (ابحث عنه في قائمة ابدأ)، وانتقل إلى المجلد الذي يحتوي على ملفك، ثم شغّل:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

يعرض هذا الأمر المجموع الاختباري SHA‑256 افتراضيًا. ولاستخدام خوارزميات أخرى، أضف -Algorithm MD5 أو -Algorithm SHA1 أو -Algorithm SHA512. وللمقارنة مع المجموع الاختباري المتوقع دون قراءته حرفًا حرفًا، شغّل:

(Get-FileHash .\ubuntu.iso).Hash -eq "paste-the-expected-checksum-here"

يعرض PowerShell القيمة True إذا تطابقا، وFalse إذا لم يتطابقا. وفي موجه الأوامر القديم، استخدم certutil -hashfile ubuntu.iso SHA256 بدلًا من ذلك.

افتح Terminal (في التطبيقات > الأدوات المساعدة)، وانتقل إلى المجلد الذي يحتوي على ملفك، ثم شغّل:

cd ~/Downloads
shasum -a 256 app.dmg

استبدل 256 بـ1 أو 512 لحساب SHA‑1 أو SHA‑512. ولحساب MD5، شغّل md5 app.dmg. ولكي يقارن Terminal المجاميع الاختبارية نيابةً عنك، شغّل:

echo "paste-the-expected-checksum-here  app.dmg" | shasum -a 256 -c

يعرض app.dmg: OK عند التطابق. لاحظ وجود مسافتين بين المجموع الاختباري واسم الملف.

تأتي كل توزيعات Linux الرئيسية مزوّدة بأدوات حساب المجموع الاختباري. في الطرفية، شغّل:

sha256sum ubuntu.iso

تعمل الطريقة نفسها مع md5sum وsha1sum وsha512sum. وتنشر مشاريع كثيرة ملفًا للمجاميع الاختبارية، يُسمّى غالبًا SHA256SUMS، يسرد كل ملفات التنزيل لديها. ضعه في المجلد نفسه الذي فيه ملفك، ثم شغّل:

sha256sum -c SHA256SUMS --ignore-missing

يعرض ubuntu.iso: OK لكل ملف متطابق. ويتخطى الخيار --ignore-missing الملفات المدرجة التي لم تنزّلها.

تؤدي الخوارزميات الأربع المهمة نفسها، لكن MD5 وSHA‑1 لم تعودا آمنتين أمام من يتعمد تزييف ملف. ومع ذلك فهما ما زالتا تكشفان التلف العرضي، ولهذا تدرجهما صفحات تنزيل كثيرة.

إذا وفّرت صفحة التنزيل عدة مجاميع اختبارية، فاستخدم SHA‑256 أو SHA‑512.

لا تفتح الملف ولا تثبّته. ثم راجع النقاط التالية، بدءًا بالأرجح:

• تأكد من أنك تقارن الخوارزمية نفسها. فالمجموع الاختباري SHA‑256 لن يتطابق أبدًا مع MD5.
• تأكد من أنك نزّلت الإصدار نفسه الذي يخصه المجموع الاختباري، بما في ذلك رقم الإصدار وما إذا كان x64 أو ARM.
• احذف الملف ونزّله مرة أخرى، ويُفضّل أن يكون ذلك من الموقع الرسمي لا من خادم بديل.
• إذا ظل التنزيل الجديد من الموقع الرسمي غير متطابق، فتواصل مع الناشر ولا تستخدم الملف.

يثبت تطابق المجموع الاختباري أن ملفك مطابق للملف الذي حُسب منه المجموع الاختباري، لكنه لا يثبت أن ذلك الملف آمن. فإذا سيطر المهاجمون على الموقع، يمكنهم استبدال ملف التنزيل والمجموع الاختباري المنشور بجانبه معًا.

لحماية أقوى، احصل على المجموع الاختباري من مكان مختلف عن مصدر الملف، كالموقع الرسمي إذا نزّلت الملف من خادم بديل. كما توقّع بعض المشاريع ملفات المجاميع الاختبارية باستخدام GPG، ما يثبت أنها صادرة عن الناشر فعلًا.