Sprawdzanie hashy MD5 i SHA-256

Suma kontrolna, nazywana też hashem, to krótki ciąg liter i cyfr obliczany na podstawie każdego bajtu pliku. Ten sam plik zawsze daje tę samą sumę kontrolną, a zmiana choćby jednego bajtu daje zupełnie inną. Dzięki temu jest ona odciskiem palca zawartości pliku.

Wydawcy oprogramowania podają sumę kontrolną obok swoich plików do pobrania. Gdy obliczysz sumę kontrolną pobranego pliku i zgadza się ona z ich sumą, wiesz, że masz dokładnie ten plik, który opublikowali, a nie uszkodzoną lub zmodyfikowaną kopię.

• Uszkodzone pobrania: Zerwane połączenie lub psujący się dysk mogą uszkodzić duży plik bez żadnego komunikatu o błędzie. Uszkodzony obraz ISO często przerywa instalację w połowie, długo po tym, jak zapomnisz, skąd go pobrano.
• Zmodyfikowane pliki: Atakujący, którzy włamią się na serwer lustrzany, mogą podmienić plik na wersję ze złośliwym oprogramowaniem. W 2016 roku strona Linux Mint została zhakowana, a link do pobrania prowadził do obrazu ISO z tylnymi drzwiami.
• Niewłaściwy plik: Sprawdzenie sumy kontrolnej wykrywa też pomyloną wersję, na przykład kompilację ARM zamiast x64 albo starsze wydanie serwowane z pamięci podręcznej.

1. Upuść pobrany plik w narzędziu powyżej lub kliknij, aby go wybrać.
2. Skopiuj sumę kontrolną ze strony pobierania i wklej ją w pole oczekiwanej sumy kontrolnej.
3. Narzędzie pokaże, czy się zgadzają. Rozpoznaje MD5, SHA-1, SHA-256 i SHA-512 na podstawie długości sumy kontrolnej.

Możesz też wkleić cały wiersz z pliku sum kontrolnych, na przykład 9f86d0...0a08 *ubuntu.iso, a suma kontrolna zostanie z niego wyodrębniona.

Dlaczego to bezpieczne dla prywatnych plików

Większość kalkulatorów hashy online najpierw wysyła twój plik na swój serwer. To narzędzie odczytuje plik małymi fragmentami za pomocą mocy obliczeniowej twojej przeglądarki, więc nic nie opuszcza twojego urządzenia. Oznacza to też, że nie czekasz na wysyłanie, a bardzo duże pliki działają bez problemu.

Windows ma narzędzie do sum kontrolnych wbudowane w PowerShell. Otwórz PowerShell (wyszukaj go w menu Start), przejdź do folderu z plikiem i uruchom:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Domyślnie wyświetla to sumę kontrolną SHA-256. Dla innych algorytmów dodaj -Algorithm MD5, -Algorithm SHA1 lub -Algorithm SHA512. Aby porównać wynik z oczekiwaną sumą kontrolną bez czytania jej znak po znaku, uruchom:

(Get-FileHash .\ubuntu.iso).Hash -eq "wklej-tutaj-oczekiwana-sume-kontrolna"

PowerShell wyświetli True, jeśli się zgadzają, i False, jeśli nie. W starszym Wierszu polecenia użyj zamiast tego certutil -hashfile ubuntu.iso SHA256.

Otwórz Terminal (w Aplikacje > Narzędzia), przejdź do folderu z plikiem i uruchom:

cd ~/Downloads
shasum -a 256 app.dmg

Zamień 256 na 1 lub 512, aby uzyskać SHA-1 lub SHA-512. Dla MD5 uruchom md5 app.dmg. Aby Terminal porównał sumy kontrolne za ciebie, uruchom:

echo "wklej-tutaj-oczekiwana-sume-kontrolna  app.dmg" | shasum -a 256 -c

Gdy się zgadzają, wyświetli app.dmg: OK. Zwróć uwagę na dwie spacje między sumą kontrolną a nazwą pliku.

Każda większa dystrybucja Linuksa ma narzędzia do sum kontrolnych. W terminalu uruchom:

sha256sum ubuntu.iso

Tak samo działają md5sum, sha1sum i sha512sum. Wiele projektów publikuje plik sum kontrolnych, często o nazwie SHA256SUMS, z listą wszystkich plików do pobrania. Umieść go w tym samym folderze co twój plik i uruchom:

sha256sum -c SHA256SUMS --ignore-missing

Dla każdego zgodnego pliku wyświetli ubuntu.iso: OK. --ignore-missing pomija pliki z listy, których nie pobrano.

Wszystkie cztery robią to samo, ale MD5 i SHA-1 nie są już bezpieczne wobec kogoś, kto celowo podrabia plik. Nadal wykrywają przypadkowe uszkodzenia, dlatego wiele stron pobierania wciąż je podaje.

Jeśli strona pobierania podaje kilka sum kontrolnych, użyj SHA-256 lub SHA-512.

Nie otwieraj ani nie instaluj pliku. Następnie sprawdź po kolei te punkty, zaczynając od najbardziej prawdopodobnego:

• Upewnij się, że porównujesz ten sam algorytm. Suma kontrolna SHA-256 nigdy nie zgodzi się z sumą MD5.
• Upewnij się, że pobrano dokładnie tę wersję, której dotyczy suma kontrolna, łącznie z numerem wersji i tym, czy jest to wersja x64, czy ARM.
• Usuń plik i pobierz go ponownie, najlepiej z oficjalnej strony, a nie z serwera lustrzanego.
• Jeśli plik pobrany ponownie z oficjalnej strony nadal się nie zgadza, skontaktuj się z wydawcą i nie używaj pliku.

Zgodna suma kontrolna dowodzi, że twój plik jest identyczny z tym, z którego ją obliczono. Nie dowodzi, że ten plik jest bezpieczny. Jeśli atakujący przejmą stronę, mogą podmienić zarówno plik do pobrania, jak i sumę kontrolną obok niego.

Dla lepszej ochrony pobierz sumę kontrolną z innego miejsca niż sam plik, na przykład z oficjalnej strony, jeśli plik pobrano z serwera lustrzanego. Niektóre projekty podpisują też swoje pliki sum kontrolnych kluczem GPG, co dowodzi, że sumy pochodzą od wydawcy.