Vérificateur de hash MD5 et SHA-256

Une somme de contrôle (checksum), aussi appelée hash, est une courte suite de lettres et de chiffres calculée à partir de chaque octet d'un fichier. Le même fichier donne toujours la même somme, et modifier un seul octet en donne une complètement différente. C'est donc une empreinte du contenu du fichier.

Les éditeurs de logiciels indiquent la somme de contrôle à côté de leurs téléchargements. Si vous calculez la somme du fichier téléchargé et qu'elle correspond à la leur, vous savez que vous avez exactement le fichier qu'ils ont publié, et non une copie corrompue ou modifiée.

• Téléchargements corrompus : Une connexion interrompue ou un disque défaillant peut endommager un gros fichier sans aucun message d'erreur. Une image ISO défectueuse échoue souvent en pleine installation, bien après que vous avez oublié d'où elle venait.
• Fichiers falsifiés : Des attaquants qui s'introduisent sur un miroir de téléchargement peuvent remplacer un fichier par un autre contenant un logiciel malveillant. En 2016, le site de Linux Mint a été piraté et son lien de téléchargement pointait vers une ISO contenant une porte dérobée.
• Le mauvais fichier : Vérifier la somme de contrôle permet aussi de repérer une version confondue, comme une version ARM au lieu de x64, ou une ancienne version servie depuis un cache.

1. Déposez le fichier téléchargé dans l'outil ci-dessus, ou cliquez pour le sélectionner.
2. Copiez la somme de contrôle depuis la page de téléchargement et collez-la dans le champ de la somme attendue.
3. L'outil vous indique si elles correspondent. Il détecte MD5, SHA-1, SHA-256 et SHA-512 d'après la longueur de la somme.

Vous pouvez aussi coller une ligne entière d'un fichier de sommes de contrôle, comme 9f86d0...0a08 *ubuntu.iso, et la somme est extraite automatiquement.

Pourquoi c'est sûr pour les fichiers privés

La plupart des calculateurs de hash en ligne envoient d'abord votre fichier sur leur serveur. Celui-ci utilise la puissance de calcul de votre navigateur pour lire le fichier par petits morceaux, donc rien ne quitte votre appareil. Cela signifie aussi qu'il n'y a aucun envoi à attendre, et que les très gros fichiers fonctionnent.

Windows intègre un outil de somme de contrôle dans PowerShell. Ouvrez PowerShell (cherchez-le dans le menu Démarrer), placez-vous dans le dossier qui contient votre fichier, puis exécutez :

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

La somme SHA-256 s'affiche par défaut. Pour les autres algorithmes, ajoutez -Algorithm MD5, -Algorithm SHA1 ou -Algorithm SHA512. Pour comparer avec la somme attendue sans la lire caractère par caractère, exécutez :

(Get-FileHash .\ubuntu.iso).Hash -eq "collez-ici-la-somme-attendue"

PowerShell affiche True si elles correspondent et False sinon. Dans l'ancienne invite de commandes, utilisez plutôt certutil -hashfile ubuntu.iso SHA256.

Ouvrez Terminal (dans Applications > Utilitaires), placez-vous dans le dossier qui contient votre fichier, puis exécutez :

cd ~/Downloads
shasum -a 256 app.dmg

Remplacez 256 par 1 ou 512 pour SHA-1 ou SHA-512. Pour MD5, exécutez md5 app.dmg. Pour que Terminal compare les sommes à votre place, exécutez :

echo "collez-ici-la-somme-attendue  app.dmg" | shasum -a 256 -c

Il affiche app.dmg: OK lorsqu'elles correspondent. Notez les deux espaces entre la somme de contrôle et le nom du fichier.

Toutes les grandes distributions Linux incluent des outils de somme de contrôle. Dans un terminal, exécutez :

sha256sum ubuntu.iso

La même chose fonctionne avec md5sum, sha1sum et sha512sum. De nombreux projets publient un fichier de sommes de contrôle, souvent appelé SHA256SUMS, qui liste tous leurs téléchargements. Placez-le dans le même dossier que votre fichier, puis exécutez :

sha256sum -c SHA256SUMS --ignore-missing

Il affiche ubuntu.iso: OK pour chaque fichier qui correspond. --ignore-missing ignore les fichiers de la liste que vous n'avez pas téléchargés.

Les quatre font le même travail, mais MD5 et SHA-1 ne protègent plus contre quelqu'un qui falsifie délibérément un fichier. Ils détectent toujours les corruptions accidentelles, c'est pourquoi de nombreuses pages de téléchargement les affichent encore.

Si une page de téléchargement propose plusieurs sommes de contrôle, utilisez SHA-256 ou SHA-512.

N'ouvrez pas et n'installez pas le fichier. Vérifiez ensuite ces points, du plus probable au moins probable :

• Vérifiez que vous comparez le même algorithme. Une somme SHA-256 ne correspondra jamais à une somme MD5.
• Vérifiez que vous avez téléchargé exactement la version à laquelle correspond la somme, y compris le numéro de version et s'il s'agit de x64 ou d'ARM.
• Supprimez le fichier et téléchargez-le à nouveau, de préférence depuis le site officiel plutôt que depuis un miroir.
• Si un nouveau téléchargement depuis le site officiel ne correspond toujours pas, contactez l'éditeur et n'utilisez pas le fichier.

Une somme de contrôle qui correspond prouve que votre fichier est identique à celui à partir duquel la somme a été calculée. Elle ne prouve pas que ce fichier est sûr. Si des attaquants contrôlent le site, ils peuvent remplacer à la fois le téléchargement et la somme affichée à côté.

Pour une meilleure protection, récupérez la somme de contrôle à un autre endroit que le fichier, par exemple sur le site officiel si vous avez téléchargé depuis un miroir. Certains projets signent aussi leurs fichiers de sommes avec GPG, ce qui prouve que les sommes viennent bien de l'éditeur.