Verifica hash MD5 e SHA-256

Un checksum, detto anche hash, è una breve stringa di lettere e numeri calcolata a partire da ogni byte di un file. Lo stesso file produce sempre lo stesso checksum, mentre cambiando anche un solo byte se ne ottiene uno completamente diverso. Per questo funziona come un'impronta digitale del contenuto del file.

Gli editori di software indicano il checksum accanto ai loro download. Se calcoli il checksum del file che hai scaricato e corrisponde al loro, sai di avere esattamente il file che hanno pubblicato, non una copia danneggiata o modificata.

• Download danneggiati: Una connessione interrotta o un disco che si sta guastando possono danneggiare un file di grandi dimensioni senza alcun messaggio di errore. Un'immagine ISO danneggiata spesso si blocca a metà installazione, molto tempo dopo che hai dimenticato da dove proveniva.
• File manomessi: Gli aggressori che violano un mirror di download possono sostituire un file con uno contenente malware. Nel 2016 il sito di Linux Mint è stato violato e il suo link di download puntava a una ISO con una backdoor.
• Il file sbagliato: Verificare il checksum permette anche di accorgersi di una versione scambiata, come una build ARM invece di x64, o una release più vecchia servita da una cache.

1. Trascina il file scaricato nello strumento qui sopra, oppure fai clic per selezionarlo.
2. Copia il checksum dalla pagina di download e incollalo nel campo del checksum previsto.
3. Lo strumento ti dice se corrispondono. Riconosce MD5, SHA-1, SHA-256 e SHA-512 dalla lunghezza del checksum.

Puoi anche incollare un'intera riga di un file di checksum, come 9f86d0...0a08 *ubuntu.iso, e il checksum viene estratto per te.

Perché è sicuro per i file privati

La maggior parte dei calcolatori di hash online carica prima il tuo file sul proprio server. Questo strumento usa la potenza di calcolo del tuo browser per leggere il file a piccoli pezzi, quindi nulla lascia il tuo dispositivo. Significa anche che non devi aspettare nessun caricamento e che funziona anche con file molto grandi.

Windows ha uno strumento per i checksum integrato in PowerShell. Apri PowerShell (cercalo nel menu Start), vai nella cartella del file ed esegui:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Questo mostra il checksum SHA-256 per impostazione predefinita. Per altri algoritmi aggiungi -Algorithm MD5, -Algorithm SHA1 o -Algorithm SHA512. Per confrontarlo con il checksum previsto senza leggerlo carattere per carattere, esegui:

(Get-FileHash .\ubuntu.iso).Hash -eq "incolla-qui-il-checksum-previsto"

PowerShell stampa True se corrispondono e False se non corrispondono. Nel vecchio Prompt dei comandi usa invece certutil -hashfile ubuntu.iso SHA256.

Apri Terminale (in Applicazioni > Utility), vai nella cartella del file ed esegui:

cd ~/Downloads
shasum -a 256 app.dmg

Sostituisci 256 con 1 o 512 per SHA-1 o SHA-512. Per MD5 esegui md5 app.dmg. Per far confrontare i checksum direttamente al Terminale, esegui:

echo "incolla-qui-il-checksum-previsto  app.dmg" | shasum -a 256 -c

Stampa app.dmg: OK quando corrispondono. Nota i due spazi tra il checksum e il nome del file.

Tutte le principali distribuzioni Linux includono strumenti per i checksum. In un terminale esegui:

sha256sum ubuntu.iso

Lo stesso vale per md5sum, sha1sum e sha512sum. Molti progetti pubblicano un file di checksum, spesso chiamato SHA256SUMS, che elenca tutti i loro download. Mettilo nella stessa cartella del file ed esegui:

sha256sum -c SHA256SUMS --ignore-missing

Stampa ubuntu.iso: OK per ogni file che corrisponde. --ignore-missing salta i file elencati che non hai scaricato.

Fanno tutti e quattro lo stesso lavoro, ma MD5 e SHA-1 non sono più sicuri contro chi falsifica deliberatamente un file. Rilevano comunque i danni accidentali, ed è per questo che molte pagine di download li riportano ancora.

Se una pagina di download offre più checksum, usa SHA-256 o SHA-512.

Non aprire né installare il file. Poi controlla questi punti, partendo dal più probabile:

• Verifica di confrontare lo stesso algoritmo. Un checksum SHA-256 non corrisponderà mai a uno MD5.
• Verifica di aver scaricato esattamente la versione a cui si riferisce il checksum, compreso il numero di versione e se è per x64 o ARM.
• Elimina il file e scaricalo di nuovo, preferibilmente dal sito ufficiale invece che da un mirror.
• Se anche un nuovo download dal sito ufficiale non corrisponde, contatta l'editore e non usare il file.

Un checksum corrispondente dimostra che il tuo file è identico a quello da cui è stato calcolato il checksum. Non dimostra che quel file sia sicuro. Se gli aggressori controllano il sito web, possono sostituire sia il download sia il checksum accanto.

Per una protezione maggiore, prendi il checksum da un posto diverso da quello del file, ad esempio il sito ufficiale se hai scaricato da un mirror. Alcuni progetti firmano anche i loro file di checksum con GPG, il che dimostra che i checksum provengono dall'editore.