Pemeriksa hash MD5 dan SHA-256

Checksum, disebut juga hash, adalah deretan pendek huruf dan angka yang dihitung dari setiap byte sebuah file. File yang sama selalu menghasilkan checksum yang sama, dan perubahan satu byte saja akan menghasilkan checksum yang sama sekali berbeda. Karena itu checksum ibarat sidik jari isi file.

Penerbit software mencantumkan checksum di samping file unduhannya. Jika checksum file yang Anda unduh cocok dengan milik mereka, berarti file Anda persis sama dengan yang mereka terbitkan, bukan salinan yang rusak atau sudah diubah.

• Unduhan rusak: Koneksi yang terputus atau disk yang mulai bermasalah bisa merusak file besar tanpa pesan error apa pun. Image ISO yang rusak sering gagal di tengah instalasi, jauh setelah Anda lupa dari mana mendapatkannya.
• File yang dimodifikasi: Peretas yang membobol server mirror bisa menukar file dengan versi yang disisipi malware. Pada 2016, situs Linux Mint diretas dan link unduhannya mengarah ke ISO yang berisi backdoor.
• File yang salah: Mengecek checksum juga bisa menangkap versi yang tertukar, seperti build ARM alih-alih x64, atau rilis lama yang tersaji dari cache.

1. Tarik file yang sudah Anda unduh ke alat di atas, atau klik untuk memilihnya.
2. Salin checksum dari halaman unduhan dan tempel di kolom checksum yang diharapkan.
3. Alat ini akan memberi tahu apakah keduanya cocok. MD5, SHA-1, SHA-256, dan SHA-512 dikenali dari panjang checksum-nya.

Anda juga bisa menempel satu baris utuh dari file checksum, seperti 9f86d0...0a08 *ubuntu.iso, dan checksum-nya akan diambil otomatis.

Kenapa aman untuk file pribadi

Kebanyakan kalkulator hash online mengunggah file Anda ke server mereka terlebih dulu. Alat ini memakai kemampuan browser Anda sendiri untuk membaca file sedikit demi sedikit, jadi tidak ada yang keluar dari perangkat Anda. Artinya juga tidak ada unggahan yang perlu ditunggu, dan file yang sangat besar pun bisa diproses.

Windows punya alat checksum bawaan di PowerShell. Buka PowerShell (cari di menu Start), masuk ke folder tempat file Anda berada, lalu jalankan:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Perintah ini secara default menampilkan checksum SHA-256. Untuk algoritma lain, tambahkan -Algorithm MD5, -Algorithm SHA1, atau -Algorithm SHA512. Untuk membandingkan dengan checksum yang diharapkan tanpa membacanya satu per satu, jalankan:

(Get-FileHash .\ubuntu.iso).Hash -eq "tempel-checksum-yang-diharapkan-di-sini"

PowerShell menampilkan True jika cocok dan False jika tidak. Di Command Prompt versi lama, gunakan certutil -hashfile ubuntu.iso SHA256.

Buka Terminal (di Aplikasi > Utilitas), masuk ke folder tempat file Anda berada, lalu jalankan:

cd ~/Downloads
shasum -a 256 app.dmg

Ganti 256 dengan 1 atau 512 untuk SHA-1 atau SHA-512. Untuk MD5, jalankan md5 app.dmg. Agar Terminal yang membandingkan checksum-nya, jalankan:

echo "tempel-checksum-yang-diharapkan-di-sini  app.dmg" | shasum -a 256 -c

Terminal menampilkan app.dmg: OK jika cocok. Perhatikan ada dua spasi di antara checksum dan nama file.

Semua distribusi Linux populer sudah dilengkapi alat checksum. Di terminal, jalankan:

sha256sum ubuntu.iso

Cara yang sama berlaku untuk md5sum, sha1sum, dan sha512sum. Banyak proyek menerbitkan file checksum, sering bernama SHA256SUMS, yang berisi daftar semua unduhan mereka. Letakkan di folder yang sama dengan file Anda, lalu jalankan:

sha256sum -c SHA256SUMS --ignore-missing

Perintah ini menampilkan ubuntu.iso: OK untuk setiap file yang cocok. --ignore-missing melewati file dalam daftar yang tidak Anda unduh.

Keempatnya punya fungsi yang sama, tetapi MD5 dan SHA-1 sudah tidak aman terhadap orang yang sengaja memalsukan file. Keduanya masih bisa mendeteksi kerusakan yang tidak disengaja, itulah sebabnya banyak halaman unduhan masih mencantumkannya.

Jika halaman unduhan menyediakan beberapa checksum, gunakan SHA-256 atau SHA-512.

Jangan buka atau instal file tersebut. Lalu periksa hal-hal ini, mulai dari yang paling mungkin:

• Pastikan Anda membandingkan algoritma yang sama. Checksum SHA-256 tidak akan pernah cocok dengan MD5.
• Pastikan Anda mengunduh versi yang persis sesuai checksum, termasuk nomor versinya dan apakah itu x64 atau ARM.
• Hapus file lalu unduh ulang, sebaiknya dari situs resmi, bukan dari mirror.
• Jika unduhan baru dari situs resmi tetap tidak cocok, hubungi penerbitnya dan jangan pakai file tersebut.

Checksum yang cocok membuktikan file Anda identik dengan file asal checksum itu dibuat. Tapi itu tidak membuktikan file tersebut aman. Jika peretas menguasai situsnya, mereka bisa mengganti file unduhan sekaligus checksum di sebelahnya.

Untuk perlindungan lebih kuat, ambil checksum dari tempat yang berbeda dari file-nya, misalnya dari situs resmi saat Anda mengunduh dari mirror. Beberapa proyek juga menandatangani file checksum mereka dengan GPG, yang membuktikan checksum itu benar-benar dari penerbitnya.