MD5 और SHA-256 हैश चेकर

चेकसम, जिसे हैश भी कहते हैं, अक्षरों और अंकों की एक छोटी स्ट्रिंग होती है जो फ़ाइल के हर बाइट से निकाली जाती है। एक ही फ़ाइल से हमेशा एक ही चेकसम मिलता है, और अगर एक बाइट भी बदल जाए तो चेकसम पूरी तरह अलग हो जाता है। इसी वजह से यह फ़ाइल के कंटेंट का फ़िंगरप्रिंट बन जाता है।

सॉफ़्टवेयर पब्लिशर अपने डाउनलोड के साथ चेकसम भी देते हैं। जब आप डाउनलोड की गई फ़ाइल का चेकसम निकालते हैं और वह उनके चेकसम से मेल खाता है, तो पक्का हो जाता है कि आपके पास ठीक वही फ़ाइल है जो उन्होंने पब्लिश की थी, कोई खराब या बदली हुई कॉपी नहीं।

• खराब डाउनलोड: कनेक्शन टूटने या डिस्क में खराबी आने से बड़ी फ़ाइल बिना किसी एरर मैसेज के खराब हो सकती है। खराब ISO इमेज अक्सर इंस्टॉल के बीच में फ़ेल होती है, जब तक आप भूल चुके होते हैं कि वह कहाँ से आई थी।
• छेड़छाड़ की गई फ़ाइलें: डाउनलोड मिरर में सेंध लगाने वाले हमलावर फ़ाइल को मैलवेयर वाली फ़ाइल से बदल सकते हैं। 2016 में Linux Mint की वेबसाइट हैक हो गई थी और उसका डाउनलोड लिंक बैकडोर वाली ISO की ओर ले जा रहा था।
• गलत फ़ाइल: चेकसम जाँचने से वर्ज़न की गड़बड़ी भी पकड़ में आ जाती है, जैसे x64 की जगह ARM बिल्ड, या कैश से मिला पुराना रिलीज़।

1. डाउनलोड की गई फ़ाइल ऊपर दिए टूल में छोड़ें, या उसे चुनने के लिए क्लिक करें।
2. डाउनलोड पेज से चेकसम कॉपी करें और उसे अपेक्षित चेकसम वाले बॉक्स में पेस्ट करें।
3. टूल बता देगा कि दोनों मेल खाते हैं या नहीं। यह चेकसम की लंबाई से MD5, SHA-1, SHA-256 और SHA-512 पहचान लेता है।

आप चेकसम फ़ाइल की पूरी लाइन भी पेस्ट कर सकते हैं, जैसे 9f86d0...0a08 *ubuntu.iso, और टूल उसमें से चेकसम खुद निकाल लेगा।

निजी फ़ाइलों के लिए यह सुरक्षित क्यों है

ज़्यादातर ऑनलाइन हैश कैलकुलेटर पहले आपकी फ़ाइल अपने सर्वर पर अपलोड करते हैं। यह टूल आपके ब्राउज़र की अपनी प्रोसेसिंग से फ़ाइल को छोटे-छोटे हिस्सों में पढ़ता है, इसलिए कुछ भी आपके डिवाइस से बाहर नहीं जाता। इसका मतलब यह भी है कि अपलोड का इंतज़ार नहीं करना पड़ता, और बहुत बड़ी फ़ाइलें भी आसानी से जाँची जा सकती हैं।

Windows के PowerShell में चेकसम टूल पहले से मौजूद है। PowerShell खोलें (Start मेन्यू में खोजें), उस फ़ोल्डर में जाएँ जहाँ आपकी फ़ाइल है, फिर यह चलाएँ:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

यह डिफ़ॉल्ट रूप से SHA-256 चेकसम दिखाता है। दूसरे एल्गोरिदम के लिए -Algorithm MD5, -Algorithm SHA1 या -Algorithm SHA512 जोड़ें। अपेक्षित चेकसम से एक-एक अक्षर मिलाए बिना तुलना करने के लिए यह चलाएँ:

(Get-FileHash .\ubuntu.iso).Hash -eq "यहाँ-अपेक्षित-चेकसम-पेस्ट-करें"

अगर दोनों मेल खाते हैं तो PowerShell True दिखाता है, और नहीं तो False। पुराने Command Prompt में इसकी जगह certutil -hashfile ubuntu.iso SHA256 इस्तेमाल करें।

Terminal खोलें (Applications > Utilities में), उस फ़ोल्डर में जाएँ जहाँ आपकी फ़ाइल है, फिर यह चलाएँ:

cd ~/Downloads
shasum -a 256 app.dmg

SHA-1 या SHA-512 के लिए 256 की जगह 1 या 512 लिखें। MD5 के लिए md5 app.dmg चलाएँ। Terminal से ही चेकसम की तुलना करवाने के लिए यह चलाएँ:

echo "यहाँ-अपेक्षित-चेकसम-पेस्ट-करें  app.dmg" | shasum -a 256 -c

मेल खाने पर यह app.dmg: OK दिखाता है। ध्यान दें कि चेकसम और फ़ाइल के नाम के बीच दो स्पेस हैं।

हर बड़े Linux डिस्ट्रीब्यूशन में चेकसम टूल पहले से आते हैं। टर्मिनल में यह चलाएँ:

sha256sum ubuntu.iso

md5sum, sha1sum और sha512sum भी इसी तरह काम करते हैं। कई प्रोजेक्ट एक चेकसम फ़ाइल पब्लिश करते हैं, जिसका नाम अक्सर SHA256SUMS होता है और जिसमें उनके सभी डाउनलोड की सूची होती है। इसे अपनी फ़ाइल वाले फ़ोल्डर में रखें और यह चलाएँ:

sha256sum -c SHA256SUMS --ignore-missing

मेल खाने वाली हर फ़ाइल के लिए यह ubuntu.iso: OK दिखाता है। --ignore-missing सूची की उन फ़ाइलों को छोड़ देता है जो आपने डाउनलोड नहीं कीं।

चारों एक ही काम करते हैं, लेकिन जानबूझकर नकली फ़ाइल बनाने वालों के सामने MD5 और SHA-1 अब सुरक्षित नहीं हैं। फिर भी ये गलती से हुई खराबी पकड़ लेते हैं, इसीलिए कई डाउनलोड पेज इन्हें अब भी देते हैं।

अगर डाउनलोड पेज पर कई चेकसम दिए हों, तो SHA-256 या SHA-512 इस्तेमाल करें।

फ़ाइल न खोलें और न ही इंस्टॉल करें। फिर इन बातों को, सबसे संभावित वजह से शुरू करते हुए, एक-एक करके जाँचें:

• देखें कि आप एक ही एल्गोरिदम की तुलना कर रहे हैं। SHA-256 चेकसम कभी MD5 चेकसम से मेल नहीं खाएगा।
• देखें कि आपने ठीक वही वर्ज़न डाउनलोड किया है जिसका चेकसम दिया गया है, वर्ज़न नंबर और x64 या ARM समेत।
• फ़ाइल डिलीट करें और दोबारा डाउनलोड करें, हो सके तो मिरर की जगह आधिकारिक साइट से।
• अगर आधिकारिक साइट से दोबारा डाउनलोड की गई फ़ाइल भी मेल न खाए, तो पब्लिशर से संपर्क करें और फ़ाइल इस्तेमाल न करें।

मेल खाता चेकसम सिर्फ़ यह साबित करता है कि आपकी फ़ाइल उसी फ़ाइल जैसी है जिससे चेकसम बनाया गया था। इससे यह साबित नहीं होता कि वह फ़ाइल सुरक्षित है। अगर वेबसाइट हमलावरों के कब्ज़े में है, तो वे डाउनलोड और उसके साथ दिया गया चेकसम, दोनों बदल सकते हैं।

बेहतर सुरक्षा के लिए चेकसम फ़ाइल वाली जगह से नहीं, किसी दूसरी जगह से लें, जैसे फ़ाइल मिरर से डाउनलोड की हो तो चेकसम आधिकारिक साइट से। कुछ प्रोजेक्ट अपनी चेकसम फ़ाइलों पर GPG से साइन भी करते हैं, जिससे साबित होता है कि चेकसम पब्लिशर ने ही दिए हैं।