Verificador de hash MD5 e SHA-256

Um checksum, também chamado hash, é uma sequência curta de letras e números calculada a partir de cada byte de um ficheiro. O mesmo ficheiro gera sempre o mesmo checksum, e alterar um único byte gera um checksum completamente diferente. Isso faz dele uma impressão digital do conteúdo do ficheiro.

Os programadores publicam o checksum ao lado dos downloads. Quando calculas o checksum do ficheiro que descarregaste e ele corresponde ao deles, sabes que tens exatamente o ficheiro que publicaram, e não uma cópia corrompida ou alterada.

• Downloads corrompidos: Uma ligação que cai ou um disco com defeito pode danificar um ficheiro grande sem qualquer mensagem de erro. Uma imagem ISO corrompida costuma falhar a meio da instalação, muito depois de já te teres esquecido de onde veio.
• Ficheiros adulterados: Atacantes que entram num servidor espelho podem trocar um ficheiro por outro com malware. Em 2016, o site do Linux Mint foi atacado e o link de download apontava para uma ISO com uma backdoor.
• O ficheiro errado: Verificar o checksum também revela se recebeste a versão errada, como a de ARM em vez da de x64, ou uma versão antiga servida a partir de uma cache.

1. Arrasta o ficheiro que descarregaste para a ferramenta acima ou clica para o selecionar.
2. Copia o checksum da página de download e cola-o no campo do checksum esperado.
3. A ferramenta mostra se correspondem. Deteta MD5, SHA-1, SHA-256 e SHA-512 pelo comprimento do checksum.

Também podes colar uma linha inteira de um ficheiro de checksums, como 9f86d0...0a08 *ubuntu.iso, e o checksum é extraído automaticamente.

Porque é seguro para ficheiros privados

A maioria das calculadoras de hash online envia primeiro o teu ficheiro para o servidor delas. Esta ferramenta usa o processamento do teu próprio navegador para ler o ficheiro em pequenos blocos, por isso nada sai do teu dispositivo. Isso também significa que não tens de esperar por nenhum envio e que ficheiros muito grandes funcionam.

O Windows tem uma ferramenta de checksum integrada no PowerShell. Abre o PowerShell (procura-o no menu Iniciar), vai até à pasta do ficheiro e executa:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Por predefinição, isto mostra o checksum SHA-256. Para outros algoritmos, acrescenta -Algorithm MD5, -Algorithm SHA1 ou -Algorithm SHA512. Para comparar com o checksum esperado sem leres carácter a carácter, executa:

(Get-FileHash .\ubuntu.iso).Hash -eq "cola-aqui-o-checksum-esperado"

O PowerShell mostra True se corresponderem e False se não. Na antiga Linha de Comandos, usa certutil -hashfile ubuntu.iso SHA256.

Abre o Terminal (em Aplicações > Utilitários), vai até à pasta do ficheiro e executa:

cd ~/Downloads
shasum -a 256 app.dmg

Troca 256 por 1 ou 512 para SHA-1 ou SHA-512. Para MD5, executa md5 app.dmg. Para o Terminal comparar os checksums por ti, executa:

echo "cola-aqui-o-checksum-esperado  app.dmg" | shasum -a 256 -c

Mostra app.dmg: OK quando correspondem. Repara nos dois espaços entre o checksum e o nome do ficheiro.

Todas as principais distribuições Linux trazem ferramentas de checksum. Num terminal, executa:

sha256sum ubuntu.iso

O mesmo funciona com md5sum, sha1sum e sha512sum. Muitos projetos publicam um ficheiro de checksums, normalmente chamado SHA256SUMS, com todos os downloads. Coloca-o na mesma pasta do teu ficheiro e executa:

sha256sum -c SHA256SUMS --ignore-missing

Mostra ubuntu.iso: OK para cada ficheiro que corresponde. --ignore-missing ignora os ficheiros da lista que não descarregaste.

Os quatro fazem o mesmo trabalho, mas o MD5 e o SHA-1 já não são seguros contra alguém que falsifique um ficheiro de propósito. Continuam a detetar corrupção acidental, e é por isso que muitas páginas de download ainda os mostram.

Se uma página de download oferecer vários checksums, usa SHA-256 ou SHA-512.

Não abras nem instales o ficheiro. Depois, verifica estes pontos, começando pelo mais provável:

• Confirma que estás a comparar o mesmo algoritmo. Um checksum SHA-256 nunca vai corresponder a um MD5.
• Confirma que descarregaste exatamente a versão a que o checksum se refere, incluindo o número da versão e se é para x64 ou ARM.
• Apaga o ficheiro e descarrega-o de novo, de preferência do site oficial em vez de um espelho.
• Se um novo download do site oficial continuar a não corresponder, contacta o programador e não uses o ficheiro.

Um checksum correspondente prova que o teu ficheiro é idêntico àquele a partir do qual o checksum foi calculado. Não prova que o ficheiro é seguro. Se os atacantes controlarem o site, podem trocar tanto o download como o checksum que está ao lado.

Para uma proteção maior, obtém o checksum num sítio diferente do ficheiro, como o site oficial quando descarregaste de um espelho. Alguns projetos também assinam os seus ficheiros de checksums com GPG, o que prova que os checksums vieram do programador.