Comprobador de hash MD5 y SHA-256

Una suma de verificación (checksum), también llamada hash, es una cadena corta de letras y números calculada a partir de cada byte de un archivo. El mismo archivo siempre da la misma suma, y cambiar un solo byte da una completamente distinta. Eso la convierte en una huella digital del contenido del archivo.

Los desarrolladores de software publican la suma de verificación junto a sus descargas. Si calculas la suma del archivo que has descargado y coincide con la suya, sabes que tienes exactamente el archivo que publicaron, y no una copia dañada o modificada.

• Descargas dañadas: Una conexión que se corta o un disco que falla pueden dañar un archivo grande sin ningún mensaje de error. Una imagen ISO defectuosa suele fallar a mitad de la instalación, mucho después de que hayas olvidado de dónde salió.
• Archivos manipulados: Los atacantes que entran en un mirror de descargas pueden cambiar un archivo por otro con malware. En 2016 hackearon la web de Linux Mint y su enlace de descarga apuntaba a una ISO con una puerta trasera.
• El archivo equivocado: Comprobar la suma también detecta una versión confundida, como una compilación ARM en lugar de x64, o una versión antigua servida desde una caché.

1. Suelta el archivo descargado en la herramienta de arriba, o haz clic para seleccionarlo.
2. Copia la suma de verificación de la página de descarga y pégala en el campo de suma esperada.
3. La herramienta te dice si coinciden. Detecta MD5, SHA-1, SHA-256 y SHA-512 según la longitud de la suma.

También puedes pegar una línea entera de un archivo de sumas de verificación, como 9f86d0...0a08 *ubuntu.iso, y la herramienta extrae la suma por ti.

Por qué es seguro para archivos privados

La mayoría de las calculadoras de hash online primero suben tu archivo a su servidor. Esta usa la capacidad de procesamiento de tu propio navegador para leer el archivo en trozos pequeños, así que nada sale de tu dispositivo. Eso también significa que no hay que esperar a ninguna subida y que funciona con archivos muy grandes.

Windows tiene una herramienta de sumas de verificación integrada en PowerShell. Abre PowerShell (búscalo en el menú Inicio), ve a la carpeta donde está tu archivo y ejecuta:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Por defecto muestra la suma SHA-256. Para otros algoritmos, añade -Algorithm MD5, -Algorithm SHA1 o -Algorithm SHA512. Para compararla con la suma esperada sin leerla carácter a carácter, ejecuta:

(Get-FileHash .\ubuntu.iso).Hash -eq "pega-aqui-la-suma-esperada"

PowerShell muestra True si coinciden y False si no. En el antiguo Símbolo del sistema, usa certutil -hashfile ubuntu.iso SHA256 en su lugar.

Abre Terminal (en Aplicaciones > Utilidades), ve a la carpeta donde está tu archivo y ejecuta:

cd ~/Downloads
shasum -a 256 app.dmg

Cambia 256 por 1 o 512 para SHA-1 o SHA-512. Para MD5, ejecuta md5 app.dmg. Para que Terminal compare las sumas por ti, ejecuta:

echo "pega-aqui-la-suma-esperada  app.dmg" | shasum -a 256 -c

Muestra app.dmg: OK cuando coinciden. Fíjate en los dos espacios entre la suma de verificación y el nombre del archivo.

Todas las distribuciones de Linux importantes incluyen herramientas de sumas de verificación. En una terminal, ejecuta:

sha256sum ubuntu.iso

Lo mismo funciona con md5sum, sha1sum y sha512sum. Muchos proyectos publican un archivo de sumas de verificación, a menudo llamado SHA256SUMS, con todas sus descargas. Ponlo en la misma carpeta que tu archivo y ejecuta:

sha256sum -c SHA256SUMS --ignore-missing

Muestra ubuntu.iso: OK por cada archivo que coincide. --ignore-missing omite los archivos de la lista que no has descargado.

Los cuatro hacen lo mismo, pero MD5 y SHA-1 ya no son seguros frente a alguien que falsifique un archivo a propósito. Siguen detectando daños accidentales, y por eso muchas páginas de descarga todavía los muestran.

Si una página de descarga ofrece varias sumas de verificación, usa SHA-256 o SHA-512.

No abras ni instales el archivo. Después revisa estos puntos, empezando por el más probable:

• Comprueba que comparas el mismo algoritmo. Una suma SHA-256 nunca coincidirá con una MD5.
• Comprueba que has descargado exactamente la versión a la que corresponde la suma, incluido el número de versión y si es x64 o ARM.
• Borra el archivo y vuelve a descargarlo, preferiblemente desde la web oficial en lugar de un mirror.
• Si una descarga nueva desde la web oficial sigue sin coincidir, contacta con el desarrollador y no uses el archivo.

Una suma que coincide demuestra que tu archivo es idéntico a aquel a partir del cual se calculó la suma. No demuestra que ese archivo sea seguro. Si los atacantes controlan la web, pueden sustituir tanto la descarga como la suma que aparece al lado.

Para una protección más fuerte, obtén la suma de verificación de un sitio distinto al del archivo, como la web oficial si descargaste desde un mirror. Algunos proyectos también firman sus archivos de sumas con GPG, lo que demuestra que las sumas proceden del desarrollador.