Hashkontroll för MD5 och SHA-256

En kontrollsumma, även kallad hash, är en kort sträng av bokstäver och siffror som beräknas från varje byte i en fil. Samma fil ger alltid samma kontrollsumma, och om du ändrar så lite som en enda byte blir den helt annorlunda. Det gör den till ett fingeravtryck för filens innehåll.

Programvaruutgivare anger kontrollsumman bredvid sina nedladdningar. När du beräknar kontrollsumman för filen du laddade ner och den matchar deras, vet du att du har exakt den fil de publicerade, inte en skadad eller ändrad kopia.

• Skadade nedladdningar: En bruten anslutning eller en disk som håller på att gå sönder kan skada en stor fil utan något felmeddelande. En trasig ISO-avbild misslyckas ofta halvvägs genom en installation, långt efter att du har glömt var den kom ifrån.
• Manipulerade filer: Angripare som tar sig in på en nedladdningsspegel kan byta ut en fil mot en med skadlig kod. År 2016 hackades Linux Mints webbplats och nedladdningslänken pekade på en ISO med en bakdörr.
• Fel fil: Att kontrollera kontrollsumman avslöjar också en förväxlad version, till exempel en ARM-version i stället för x64, eller en äldre version som serveras från en cache.

1. Släpp den nedladdade filen i verktyget ovan, eller klicka för att välja den.
2. Kopiera kontrollsumman från nedladdningssidan och klistra in den i fältet för förväntad kontrollsumma.
3. Verktyget visar om de matchar. Det känner igen MD5, SHA-1, SHA-256 och SHA-512 utifrån kontrollsummans längd.

Du kan också klistra in en hel rad från en kontrollsummefil, till exempel 9f86d0...0a08 *ubuntu.iso, så plockas kontrollsumman ut åt dig.

Därför är det säkert för privata filer

De flesta hashberäknare online laddar först upp din fil till sin server. Det här verktyget använder din webbläsares egen beräkningskraft för att läsa filen i små delar, så inget lämnar din enhet. Det betyder också att du inte behöver vänta på någon uppladdning, och att mycket stora filer fungerar.

Windows har ett verktyg för kontrollsummor inbyggt i PowerShell. Öppna PowerShell (sök efter det i Start-menyn), gå till mappen med din fil och kör:

cd $HOME\Downloads
Get-FileHash .\ubuntu.iso

Det här visar SHA-256-kontrollsumman som standard. För andra algoritmer lägger du till -Algorithm MD5, -Algorithm SHA1 eller -Algorithm SHA512. För att jämföra med den förväntade kontrollsumman utan att läsa den tecken för tecken kör du:

(Get-FileHash .\ubuntu.iso).Hash -eq "klistra-in-förväntad-kontrollsumma-här"

PowerShell skriver True om de matchar och False om de inte gör det. I den äldre kommandotolken använder du i stället certutil -hashfile ubuntu.iso SHA256.

Öppna Terminal (under Program > Verktygsprogram), gå till mappen med din fil och kör:

cd ~/Downloads
shasum -a 256 app.dmg

Byt ut 256 mot 1 eller 512 för SHA-1 eller SHA-512. För MD5 kör du md5 app.dmg. För att låta Terminal jämföra kontrollsummorna åt dig kör du:

echo "klistra-in-förväntad-kontrollsumma-här  app.dmg" | shasum -a 256 -c

Den skriver app.dmg: OK när de matchar. Observera de två mellanslagen mellan kontrollsumman och filnamnet.

Alla större Linuxdistributioner har verktyg för kontrollsummor. Kör i en terminal:

sha256sum ubuntu.iso

Samma sak fungerar med md5sum, sha1sum och sha512sum. Många projekt publicerar en kontrollsummefil, ofta kallad SHA256SUMS, som listar alla deras nedladdningar. Lägg den i samma mapp som din fil och kör:

sha256sum -c SHA256SUMS --ignore-missing

Den skriver ubuntu.iso: OK för varje fil som matchar. --ignore-missing hoppar över de listade filerna som du inte har laddat ner.

Alla fyra gör samma jobb, men MD5 och SHA-1 är inte längre säkra mot någon som medvetet förfalskar en fil. De upptäcker fortfarande oavsiktliga skador, och därför listar många nedladdningssidor dem.

Om en nedladdningssida erbjuder flera kontrollsummor, använd SHA-256 eller SHA-512.

Öppna eller installera inte filen. Gå sedan igenom de här punkterna, den mest sannolika först:

• Kontrollera att du jämför samma algoritm. En SHA-256-kontrollsumma matchar aldrig en MD5-kontrollsumma.
• Kontrollera att du har laddat ner exakt den version som kontrollsumman gäller, inklusive versionsnumret och om den är för x64 eller ARM.
• Ta bort filen och ladda ner den igen, helst från den officiella webbplatsen i stället för från en spegel.
• Om en ny nedladdning från den officiella webbplatsen fortfarande inte matchar, kontakta utgivaren och använd inte filen.

En matchande kontrollsumma bevisar att din fil är identisk med den som kontrollsumman beräknades från. Den bevisar inte att filen är säker. Om angripare kontrollerar webbplatsen kan de byta ut både nedladdningen och kontrollsumman bredvid den.

För starkare skydd, hämta kontrollsumman från ett annat ställe än filen, till exempel den officiella webbplatsen när du laddade ner från en spegel. Vissa projekt signerar också sina kontrollsummefiler med GPG, vilket bevisar att kontrollsummorna kommer från utgivaren.