Hashcontrole voor MD5 en SHA-256

Een checksum, ook wel hash genoemd, is een korte reeks letters en cijfers die wordt berekend uit elke byte van een bestand. Hetzelfde bestand geeft altijd dezelfde checksum, en als je ook maar één byte verandert, krijg je een totaal andere. Daardoor is het een vingerafdruk van de inhoud van het bestand.

Uitgevers van software zetten de checksum naast hun downloads. Als je de checksum berekent van het bestand dat je hebt gedownload en die overeenkomt met de hunne, weet je dat je precies het bestand hebt dat zij hebben gepubliceerd, en geen beschadigde of aangepaste kopie.

• Beschadigde downloads: Een verbroken verbinding of een falende schijf kan een groot bestand beschadigen zonder enige foutmelding. Een kapot ISO-bestand mislukt vaak halverwege een installatie, lang nadat je vergeten bent waar het vandaan kwam.
• Gemanipuleerde bestanden: Aanvallers die inbreken op een downloadmirror, kunnen een bestand vervangen door een versie met malware erin. In 2016 werd de website van Linux Mint gehackt en wees de downloadlink naar een ISO met een achterdeur.
• Het verkeerde bestand: Door de checksum te controleren ontdek je ook een verwisselde versie, zoals een ARM-build in plaats van x64, of een oudere release die uit een cache komt.

1. Sleep je gedownloade bestand naar de tool hierboven, of klik om het te kiezen.
2. Kopieer de checksum van de downloadpagina en plak die in het veld voor de verwachte checksum.
3. De tool laat zien of ze overeenkomen. Hij herkent MD5, SHA-1, SHA-256 en SHA-512 aan de lengte van de checksum.

Je kunt ook een hele regel uit een checksumbestand plakken, zoals 9f86d0...0a08 *ubuntu.iso, en de checksum wordt er voor je uit gehaald.

Waarom het veilig is voor privébestanden

De meeste online hashcalculators uploaden je bestand eerst naar hun server. Deze tool gebruikt de rekenkracht van je eigen browser om het bestand in kleine stukjes te lezen, dus er verlaat niets je apparaat. Dat betekent ook dat je niet op een upload hoeft te wachten en dat heel grote bestanden gewoon werken.

Windows heeft een checksumtool ingebouwd in PowerShell. Open PowerShell (zoek ernaar in het Startmenu), ga naar de map met je bestand en voer uit:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Dit toont standaard de SHA-256-checksum. Voor andere algoritmen voeg je -Algorithm MD5, -Algorithm SHA1 of -Algorithm SHA512 toe. Om te vergelijken met de verwachte checksum zonder die teken voor teken te lezen, voer je uit:

(Get-FileHash .\ubuntu.iso).Hash -eq "plak-hier-de-verwachte-checksum"

PowerShell toont True als ze overeenkomen en False als dat niet zo is. In de oudere opdrachtprompt gebruik je in plaats daarvan certutil -hashfile ubuntu.iso SHA256.

Open Terminal (in Programma's > Hulpprogramma's), ga naar de map met je bestand en voer uit:

cd ~/Downloads
shasum -a 256 app.dmg

Vervang 256 door 1 of 512 voor SHA-1 of SHA-512. Voor MD5 voer je md5 app.dmg uit. Om Terminal de checksums voor je te laten vergelijken, voer je uit:

echo "plak-hier-de-verwachte-checksum  app.dmg" | shasum -a 256 -c

Er verschijnt app.dmg: OK als ze overeenkomen. Let op de twee spaties tussen de checksum en de bestandsnaam.

Elke grote Linuxdistributie heeft checksumtools. Voer in een terminal uit:

sha256sum ubuntu.iso

Hetzelfde werkt met md5sum, sha1sum en sha512sum. Veel projecten publiceren een checksumbestand, vaak SHA256SUMS genoemd, met al hun downloads erin. Zet het in dezelfde map als je bestand en voer uit:

sha256sum -c SHA256SUMS --ignore-missing

Er verschijnt ubuntu.iso: OK voor elk bestand dat overeenkomt. --ignore-missing slaat de vermelde bestanden over die je niet hebt gedownload.

Ze doen alle vier hetzelfde werk, maar MD5 en SHA-1 zijn niet meer veilig tegen iemand die opzettelijk een bestand vervalst. Ze vangen nog wel onbedoelde beschadiging op, en daarom vermelden veel downloadpagina's ze.

Als een downloadpagina meerdere checksums aanbiedt, gebruik dan SHA-256 of SHA-512.

Open of installeer het bestand niet. Loop daarna deze punten door, het meest waarschijnlijke eerst:

• Controleer of je hetzelfde algoritme vergelijkt. Een SHA-256-checksum komt nooit overeen met een MD5-checksum.
• Controleer of je precies de versie hebt gedownload waar de checksum voor geldt, inclusief het versienummer en of het voor x64 of ARM is.
• Verwijder het bestand en download het opnieuw, liefst van de officiële site in plaats van een mirror.
• Komt een nieuwe download van de officiële site nog steeds niet overeen, neem dan contact op met de uitgever en gebruik het bestand niet.

Een overeenkomende checksum bewijst dat je bestand identiek is aan het bestand waarvan de checksum is gemaakt. Het bewijst niet dat dat bestand veilig is. Als aanvallers de website in handen hebben, kunnen ze zowel de download als de checksum ernaast vervangen.

Voor betere bescherming haal je de checksum ergens anders vandaan dan het bestand, zoals de officiële site als je van een mirror hebt gedownload. Sommige projecten ondertekenen hun checksumbestanden ook met GPG, wat bewijst dat de checksums van de uitgever komen.