Hashsjekk for MD5 og SHA-256

En sjekksum, også kalt en hash, er en kort rekke bokstaver og tall som beregnes ut fra hver eneste byte i en fil. Den samme filen gir alltid den samme sjekksummen, og endrer du så mye som én byte, blir den helt annerledes. Det gjør den til et fingeravtrykk for innholdet i filen.

Programvareutgivere oppgir sjekksummen ved siden av nedlastingene sine. Når du beregner sjekksummen til filen du lastet ned og den stemmer med deres, vet du at du har nøyaktig den filen de publiserte, ikke en skadet eller endret kopi.

• Skadede nedlastinger: En tilkobling som brytes eller en disk som er i ferd med å svikte, kan skade en stor fil uten noen feilmelding. Et ødelagt ISO-bilde feiler ofte midt i en installasjon, lenge etter at du har glemt hvor det kom fra.
• Manipulerte filer: Angripere som bryter seg inn på et nedlastingsspeil, kan bytte ut en fil med en som inneholder skadevare. I 2016 ble nettstedet til Linux Mint hacket, og nedlastingslenken pekte til en ISO med en bakdør.
• Feil fil: En sjekk av sjekksummen avslører også en forvekslet versjon, for eksempel en ARM-versjon i stedet for x64, eller en eldre versjon som serveres fra en hurtigbuffer.

1. Slipp den nedlastede filen i verktøyet over, eller klikk for å velge den.
2. Kopier sjekksummen fra nedlastingssiden og lim den inn i feltet for forventet sjekksum.
3. Verktøyet viser om de stemmer. Det gjenkjenner MD5, SHA-1, SHA-256 og SHA-512 ut fra lengden på sjekksummen.

Du kan også lime inn en hel linje fra en sjekksumfil, for eksempel 9f86d0...0a08 *ubuntu.iso, så plukkes sjekksummen ut for deg.

Derfor er det trygt for private filer

De fleste hashkalkulatorer på nett laster først opp filen din til serveren sin. Dette verktøyet bruker nettleserens egen regnekraft til å lese filen i små biter, så ingenting forlater enheten din. Det betyr også at du ikke må vente på noen opplasting, og at svært store filer fungerer.

Windows har et sjekksumverktøy innebygd i PowerShell. Åpne PowerShell (søk etter det i Start-menyen), gå til mappen med filen din, og kjør:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Dette viser SHA-256-sjekksummen som standard. For andre algoritmer legger du til -Algorithm MD5, -Algorithm SHA1 eller -Algorithm SHA512. For å sammenligne med den forventede sjekksummen uten å lese den tegn for tegn kjører du:

(Get-FileHash .\ubuntu.iso).Hash -eq "lim-inn-forventet-sjekksum-her"

PowerShell skriver True hvis de stemmer, og False hvis ikke. I den eldre ledeteksten bruker du certutil -hashfile ubuntu.iso SHA256 i stedet.

Åpne Terminal (under Programmer > Verktøy), gå til mappen med filen din, og kjør:

cd ~/Downloads
shasum -a 256 app.dmg

Bytt ut 256 med 1 eller 512 for SHA-1 eller SHA-512. For MD5 kjører du md5 app.dmg. For å la Terminal sammenligne sjekksummene for deg kjører du:

echo "lim-inn-forventet-sjekksum-her  app.dmg" | shasum -a 256 -c

Den skriver app.dmg: OK når de stemmer. Merk de to mellomrommene mellom sjekksummen og filnavnet.

Alle de store Linux-distribusjonene har sjekksumverktøy. Kjør dette i en terminal:

sha256sum ubuntu.iso

Det samme fungerer med md5sum, sha1sum og sha512sum. Mange prosjekter publiserer en sjekksumfil, ofte kalt SHA256SUMS, som lister opp alle nedlastingene deres. Legg den i samme mappe som filen din, og kjør:

sha256sum -c SHA256SUMS --ignore-missing

Den skriver ubuntu.iso: OK for hver fil som stemmer. --ignore-missing hopper over filene på listen som du ikke har lastet ned.

Alle fire gjør den samme jobben, men MD5 og SHA-1 er ikke lenger trygge mot noen som bevisst forfalsker en fil. De fanger fortsatt opp utilsiktet skade, og derfor oppgir mange nedlastingssider dem.

Hvis en nedlastingsside tilbyr flere sjekksummer, bruk SHA-256 eller SHA-512.

Ikke åpne eller installer filen. Gå deretter gjennom disse punktene, det mest sannsynlige først:

• Sjekk at du sammenligner samme algoritme. En SHA-256-sjekksum vil aldri stemme med en MD5-sjekksum.
• Sjekk at du har lastet ned nøyaktig den versjonen sjekksummen gjelder for, inkludert versjonsnummeret og om den er for x64 eller ARM.
• Slett filen og last den ned på nytt, helst fra det offisielle nettstedet i stedet for et speil.
• Hvis en ny nedlasting fra det offisielle nettstedet fortsatt ikke stemmer, kontakt utgiveren og ikke bruk filen.

En sjekksum som stemmer, beviser at filen din er identisk med den sjekksummen ble laget fra. Den beviser ikke at filen er trygg. Hvis angripere kontrollerer nettstedet, kan de bytte ut både nedlastingen og sjekksummen ved siden av.

For sterkere beskyttelse bør du hente sjekksummen fra et annet sted enn filen, for eksempel det offisielle nettstedet når du lastet ned fra et speil. Noen prosjekter signerer også sjekksumfilene sine med GPG, noe som beviser at sjekksummene kommer fra utgiveren.