MD5 og SHA-256 hash tjekker

En checksum, også kaldet en hash, er en kort streng af bogstaver og tal, der beregnes ud fra hver eneste byte i en fil. Den samme fil giver altid den samme checksum, og ændrer man bare én byte, får man en helt anden. Det gør den til et fingeraftryk af filens indhold.

Softwareudgivere angiver checksummen ved siden af deres downloads. Når du beregner checksummen af den fil, du har downloadet, og den matcher deres, ved du, at du har præcis den fil, de har udgivet, og ikke en beskadiget eller ændret kopi.

• Beskadigede downloads: En afbrudt forbindelse eller en defekt disk kan beskadige en stor fil uden nogen fejlmeddelelse. Et ødelagt ISO-image fejler ofte halvvejs gennem en installation, længe efter du har glemt, hvor det kom fra.
• Manipulerede filer: Angribere, der bryder ind på et downloadspejl, kan bytte en fil ud med en, der indeholder malware. I 2016 blev Linux Mints hjemmeside hacket, og downloadlinket pegede på et ISO-image med en bagdør.
• Den forkerte fil: Et tjek af checksummen fanger også en forkert version, for eksempel et ARM-build i stedet for x64 eller en ældre udgave fra en cache.

1. Slip den downloadede fil i værktøjet ovenfor, eller klik for at vælge den.
2. Kopiér checksummen fra downloadsiden, og indsæt den i feltet til den forventede checksum.
3. Værktøjet fortæller dig, om de matcher. Det genkender MD5, SHA-1, SHA-256 og SHA-512 ud fra checksummens længde.

Du kan også indsætte en hel linje fra en checksumfil, for eksempel 9f86d0...0a08 *ubuntu.iso, så finder værktøjet selv checksummen.

Derfor er det sikkert til private filer

De fleste online hash beregnere uploader først din fil til deres server. Dette værktøj bruger din browsers egen regnekraft til at læse filen i små bidder, så intet forlader din enhed. Det betyder også, at der ikke er nogen upload at vente på, og at meget store filer virker.

Windows har et checksumværktøj indbygget i PowerShell. Åbn PowerShell (søg efter det i Start-menuen), gå til mappen med din fil, og kør:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Det viser som standard SHA-256 checksummen. Til andre algoritmer kan du tilføje -Algorithm MD5, -Algorithm SHA1 eller -Algorithm SHA512. Kør dette for at sammenligne med den forventede checksum uden at læse den tegn for tegn:

(Get-FileHash .\ubuntu.iso).Hash -eq "indsæt-den-forventede-checksum-her"

PowerShell skriver True, hvis de matcher, og False, hvis de ikke gør. I den ældre kommandoprompt kan du bruge certutil -hashfile ubuntu.iso SHA256 i stedet.

Åbn Terminal (under Programmer > Hjælpeprogrammer), gå til mappen med din fil, og kør:

cd ~/Downloads
shasum -a 256 app.dmg

Erstat 256 med 1 eller 512 for SHA-1 eller SHA-512. Til MD5 skal du køre md5 app.dmg. Kør dette for at lade Terminal sammenligne checksummerne for dig:

echo "indsæt-den-forventede-checksum-her  app.dmg" | shasum -a 256 -c

Den skriver app.dmg: OK, når de matcher. Bemærk de to mellemrum mellem checksummen og filnavnet.

Alle store Linux-distributioner har checksumværktøjer med. Kør i en terminal:

sha256sum ubuntu.iso

Det samme virker med md5sum, sha1sum og sha512sum. Mange projekter udgiver en checksumfil, ofte kaldet SHA256SUMS, der lister alle deres downloads. Læg den i samme mappe som din fil, og kør:

sha256sum -c SHA256SUMS --ignore-missing

Den skriver ubuntu.iso: OK for hver fil, der matcher. --ignore-missing springer de filer på listen over, som du ikke har downloadet.

Alle fire gør det samme, men MD5 og SHA-1 er ikke længere sikre mod nogen, der bevidst forfalsker en fil. De fanger stadig utilsigtet beskadigelse, og derfor står de stadig på mange downloadsider.

Hvis en downloadside tilbyder flere checksummer, så brug SHA-256 eller SHA-512.

Lad være med at åbne eller installere filen. Gå derefter disse punkter igennem, det mest sandsynlige først:

• Tjek, at du sammenligner den samme algoritme. En SHA-256 checksum vil aldrig matche en MD5 checksum.
• Tjek, at du har downloadet præcis den version, checksummen gælder for, inklusive versionsnummeret, og om det er x64 eller ARM.
• Slet filen, og download den igen, helst fra den officielle side frem for et spejl.
• Hvis en ny download fra den officielle side stadig ikke matcher, så kontakt udgiveren, og brug ikke filen.

En matchende checksum beviser, at din fil er identisk med den, checksummen blev lavet ud fra. Den beviser ikke, at filen er sikker. Hvis angribere har kontrol over hjemmesiden, kan de udskifte både downloaden og checksummen ved siden af.

Du får bedre beskyttelse ved at hente checksummen et andet sted end filen, for eksempel fra den officielle side, når du har downloadet fra et spejl. Nogle projekter signerer også deres checksumfiler med GPG, hvilket beviser, at checksummerne kommer fra udgiveren.