Πώς να ελέγξετε το checksum SHA-256 ενός αρχείου λήψης στον browser

Το checksum είναι ένα σύντομο αποτύπωμα που υπολογίζεται από τα περιεχόμενα ενός αρχείου. Αν κάνετε hash στο αρχείο που κατεβάσατε και το αποτέλεσμα ταιριάζει με την τιμή που δημοσιεύει ο εκδότης, τότε το αρχείο είναι byte προς byte αυτό που υπολόγισε ο εκδότης. Αν διαφέρει έστω και ένα bit, το αποτύπωμα αλλάζει εντελώς. Σύρετε το αρχείο στη γεννήτρια hash, επικολλήστε τη δημοσιευμένη τιμή και το εργαλείο δείχνει ποιος αλγόριθμος ταιριάζει.

Τι αποδεικνύει ένα checksum

Ένα checksum εντοπίζει αλλαγές. Πιάνει μια λήψη που διακόπηκε στη μέση, ένα αρχείο που φθάρηκε από ασταθή σύνδεση ή από δίσκο που πάει να χαλάσει, και έναν καθρέφτη που σερβίρει άλλη έκδοση από το πρωτότυπο. Τα σφάλματα αυτά είναι συνηθισμένα, και ένα ταιριαστό hash τα αποκλείει.

Δεν αποδεικνύει ότι ο εκδότης είναι αξιόπιστος. Ας πούμε ότι ένας επιτιθέμενος μπορεί να αλλάξει το αρχείο στη σελίδα λήψης και να επεξεργαστεί και το hash που εμφανίζεται δίπλα του. Τα δύο ταιριάζουν και ο έλεγχος περνάει. Ένα checksum είναι αξιόπιστο μόνο όσο η πηγή από την οποία πήρατε το hash. Για έναν ουσιαστικό έλεγχο, το hash πρέπει να έρχεται από διαφορετικό κανάλι από το αρχείο: μια υπογεγραμμένη ανακοίνωση έκδοσης, ένα αρχείο checksum με υπογραφή GPG, τα αρχεία ενός διαχειριστή πακέτων ή ο ιστότοπος του εκδότη, στον οποίο φτάνετε πληκτρολογώντας τη διεύθυνση μόνοι σας. Ένα hash που αντιγράφεται από τον ίδιο σύνδεσμο με το αρχείο προσφέρει λίγα απέναντι σε αποφασισμένο επιτιθέμενο.

Ένα ταιριαστό hash δεν λέει τίποτα για το τι κάνει το πρόγραμμα. Επιβεβαιώνει ότι έχετε το αρχείο που υπολόγισε ο εκδότης. Το αν αυτό το αρχείο είναι ασφαλές είναι ερώτημα για τον εκδότη, και απαντιέται από την υπογραφή, τη φήμη της πηγής και τα βήματα επαλήθευσης του έργου, αν υπάρχουν.

Πού δημοσιεύουν οι εκδότες τα hash

Κοιτάξτε πρώτα κοντά στο κουμπί λήψης. Πολλά έργα τυπώνουν την τιμή SHA-256 στη σελίδα λήψης. Τα μεγαλύτερα έργα δημοσιεύουν συχνά ένα αρχείο, συνήθως με όνομα SHA256SUMS ή παρόμοιο, με μία γραμμή ανά λήψη, και μερικές φορές δίπλα του ένα αρχείο υπογραφής. Ορισμένες πλατφόρμες λογισμικού κρατούν τα hash στα δικά τους μεταδεδομένα. Οι άλλες συνηθισμένες θέσεις είναι το README και οι σημειώσεις έκδοσης.

Διαβάστε και το όνομα του αλγορίθμου. Μια γραμμή που λέει SHA-256 χρειάζεται hash SHA-256, που είναι 64 δεκαεξαδικοί χαρακτήρες. Τιμή 32 χαρακτήρων είναι MD5 και 40 χαρακτήρων είναι SHA-1. Το εργαλείο πρέπει να ξέρει ποιον αλγόριθμο συγκρίνετε, και το ίδιο πρέπει να ξέρετε κι εσείς.

Σύγκριση του hash σε τέσσερα βήματα

1. Κατεβάστε το αρχείο μία φορά, από την επίσημη σελίδα.
2. Ανοίξτε τη γεννήτρια hash, επιλέξτε Αρχείο και σύρετε μέσα το αρχείο. Περιμένετε να ολοκληρωθεί. Πολύ μεγάλα αρχεία μπορεί να χρειαστούν χρόνο και ενδέχεται να ξεπερνούν όσα μπορεί να χωρέσει στη μνήμη ο περιηγητής.
3. Επικολλήστε το δημοσιευμένο hash στο πεδίο Αναμενόμενο hash, προαιρετικό. Τα κεφαλαία και τα πεζά γράμματα και τα κενά αγνοούνται, οπότε μια τιμή με κεφαλαία που αντιγράφηκε από σελίδα δουλεύει.
4. Ψάξτε για ταύτιση. Το εργαλείο δείχνει ποιος αλγόριθμος ταιριάζει. Αν δεν ταιριάζει κανένας, μην εκτελείτε το αρχείο. Κατεβάστε το ξανά. Αν αποτύχει και το δεύτερο αντίγραφο, η δημοσιευμένη τιμή και το αρχείο σας δεν συμφωνούν, και πρέπει να ρωτήσετε τον εκδότη ποια είναι η σωστή.

Αν προτιμάτε το τερματικό, ο ίδιος έλεγχος γίνεται με μία εντολή. Στο Linux εκτελέστε sha256sum στο αρχείο. Στο macOS, το shasum -a 256 κάνει το ίδιο. Στα Windows PowerShell, το Get-FileHash -Algorithm SHA256 με τη διαδρομή του αρχείου δίνει την τιμή. Η έξοδος είναι η ίδια δεκαεξαδική συμβολοσειρά που δείχνει το εργαλείο.

Το hash δεν χρησιμεύει μόνο για να ταιριάξετε μια δημοσιευμένη τιμή. Το εργαλείο Έλεγχος κατεστραμμένου αρχείου χρησιμοποιεί την ίδια ιδέα για να σας πει αν ένα αρχείο είναι φθαρμένο, και η Εύρεση διπλότυπων αρχείων δουλεύει με τον ίδιο τρόπο, συγκρίνοντας hash για να βρει πανομοιότυπα αντίγραφα σε έναν φάκελο.

Hash κειμένου που πληκτρολογείτε

Η λειτουργία κειμένου υπολογίζει hash σε ό,τι πληκτρολογείτε ή επικολλάτε. Μετατρέπει πρώτα το κείμενο σε bytes UTF-8. Το πεδίο κειμένου αποθηκεύει τις αλλαγές γραμμής ως LF, οπότε το επικολλημένο κείμενο υπολογίζεται με τέλη γραμμής LF, ό,τι κι αν είναι το σύστημα προέλευσης. Ένα αρχείο που αποθηκεύτηκε στα Windows συνήθως τελειώνει κάθε γραμμή με CRLF, και τα bytes του κάνουν διαφορετικό hash. Γι' αυτό, όταν ένας εκδότης δίνει το hash ενός αρχείου, χρησιμοποιήστε τη λειτουργία Αρχείο και κάντε hash το ίδιο το αρχείο. Αν θέλετε να δείτε ακριβώς πού διαφέρουν δύο εκδοχές, το εργαλείο σύγκρισης κειμένων δείχνει τις αλλαγές δίπλα-δίπλα.

Γιατί το MD5 και το SHA-1 είναι αδύναμα

Το εργαλείο προσφέρει MD5 και SHA-1 επειδή πολλές παλαιότερες σελίδες λήψης τα εμφανίζουν ακόμη. Για τον εντοπισμό φθοράς είναι εντάξει. Μια τυχαία αλλαγή είναι εξαιρετικά απίθανο να δώσει τυχαία ταιριαστή τιμή MD5 ή SHA-1.

Απέναντι σε επιτιθέμενο δεν είναι. Μια σύγκρουση (collision) είναι δύο διαφορετικές εισόδους με το ίδιο hash. Οι συγκρούσεις του MD5 μπορούν πλέον να παραχθούν φθηνά, οπότε καμία χρήση ασφάλειας δεν πρέπει να βασίζεται στο MD5. Μια σύγκρουση του SHA-1 επιδείχθηκε δημόσια το 2017, και οι περιηγητές και οι εκδότες πιστοποιητικών έχουν πλέον αποσύρει το SHA-1 για υπογραφές. Αν ένας εκδότης προσφέρει μόνο MD5 ή SHA-1, ζητήστε SHA-256 ή ένα υπογεγραμμένο αρχείο checksum. Για ό,τι μπορεί κάποιος να αλλοιώσει σκόπιμα, χρησιμοποιήστε SHA-256 ή ισχυρότερο. Δεν υπάρχει γνωστή πρακτική επίθεση που σπάει το SHA-256 κατά τη στιγμή της συγγραφής. Ο οδηγός αλγορίθμων εξηγεί ποιον να επιλέξετε.

Σύντομες απαντήσεις

Σημαίνει ότι το αρχείο είναι ασφαλές αν το hash ταιριάζει; Σημαίνει ότι το αρχείο είναι αυτό που κατακερματίστηκε. Η ασφάλεια εξαρτάται από το αν το hash προήλθε από πηγή που εμπιστεύεστε.

Μπορούν δύο διαφορετικά αρχεία να έχουν το ίδιο SHA-256; Στην πράξη, όχι. Δεν είναι γνωστή πρακτική μέθοδος για την εύρεση τέτοιου ζεύγους κατά τη στιγμή της συγγραφής.

Γιατί το hash δεν ταιριάζει αφού το αντέγραψα; Ελέγξτε πρώτα τον αλγόριθμο. Έπειτα, δείτε αν λείπει ή περισσεύει κάποιος χαρακτήρας, ή αν η αντιγραφή κόπηκε στη μέση. Τα κεφαλαία και τα πεζά γράμματα και τα κενά αγνοούνται, οπότε δεν είναι η αιτία.