Comment vérifier la somme de contrôle SHA-256 d'un téléchargement dans le navigateur

Une somme de contrôle est une courte empreinte calculée à partir du contenu d'un fichier. Si vous calculez le hash du fichier téléchargé et que le résultat correspond à la valeur publiée par l'éditeur, le fichier est identique, octet par octet, à celui qu'il a haché. Si ne serait-ce qu'un bit diffère, l'empreinte change complètement. Déposez le fichier dans le générateur de hash, collez la valeur publiée, et l'outil indique l'algorithme qui correspond.

Ce que prouve une somme de contrôle

Une somme de contrôle détecte les modifications. Elle repère un téléchargement interrompu en cours de route, un fichier endommagé par une connexion instable ou un disque défaillant, et un miroir qui sert une version différente de l'originale. Ces erreurs sont courantes, et un hash identique les écarte.

Elle ne prouve pas que l'éditeur est fiable. Imaginez qu'un attaquant puisse modifier le fichier sur une page de téléchargement et aussi changer le hash affiché à côté. Les deux correspondent, et la vérification réussit. Une somme de contrôle n'est aussi fiable que l'endroit d'où vous tenez le hash. Pour une vérification utile, le hash doit arriver par un canal différent de celui du fichier : une annonce de version signée, un fichier de sommes de contrôle avec une signature GPG, les registres d'un gestionnaire de paquets, ou le site de l'éditeur, atteint en tapant vous-même son adresse. Un hash copié depuis le même lien que le fichier apporte peu de protection contre un attaquant déterminé.

Un hash identique ne dit rien non plus de ce que fait le programme. Il confirme que vous avez le fichier que l'éditeur a haché. La question de savoir si ce fichier est sûr concerne l'éditeur : elle se règle avec la signature, la réputation de la source et les étapes de vérification du projet, s'il en a.

Où les éditeurs publient les hashes

Regardez d'abord près du bouton de téléchargement. Beaucoup de projets affichent la valeur SHA-256 sur leur page de téléchargement. Les projets plus importants publient souvent un fichier, généralement nommé SHA256SUMS ou un nom similaire, avec une ligne par téléchargement, et parfois un fichier de signature à côté. Certaines plateformes logicielles conservent les hashes dans leurs propres métadonnées. Le README et les notes de version sont les autres emplacements habituels.

Lisez aussi le nom de l'algorithme. Une ligne qui indique SHA-256 doit être accompagnée d'un hash SHA-256, soit 64 caractères hexadécimaux. Une valeur de 32 caractères correspond à MD5, et une de 40 caractères à SHA-1. L'outil doit savoir quel algorithme vous comparez, et vous aussi.

Comparer le hash en quatre étapes

1. Téléchargez le fichier une seule fois, depuis la page officielle.
2. Ouvrez le générateur de hash, choisissez Fichier, puis déposez le fichier. Attendez la fin du calcul. Les très gros fichiers peuvent prendre du temps et dépasser ce que le navigateur peut contenir en mémoire.
3. Collez le hash publié dans Hash attendu, facultatif. La casse et les espaces sont ignorés, donc une valeur en majuscules copiée depuis une page fonctionne.
4. Cherchez la correspondance. L'outil indique l'algorithme qui correspond. Si aucun ne correspond, ne lancez pas le fichier. Téléchargez-le à nouveau. Si la seconde copie échoue aussi, la valeur publiée et votre fichier ne concordent pas, et vous devriez demander à l'éditeur laquelle est correcte.

Si vous préférez un terminal, la même vérification tient en une commande. Sous Linux, lancez sha256sum sur le fichier. Sous macOS, shasum -a 256 fait la même chose. Dans Windows PowerShell, Get-FileHash -Algorithm SHA256 suivi du chemin du fichier donne la valeur. Le résultat est la même chaîne hexadécimale que celle affichée par l'outil.

Un hash ne sert pas seulement à comparer une valeur publiée. Vérifier un fichier corrompu utilise la même idée pour savoir si un fichier est endommagé, et Rechercher les fichiers en double fonctionne de la même façon : on compare les hashes pour repérer les copies identiques dans un dossier.

Hacher du texte

Le mode texte calcule le hash de ce que vous tapez ou collez. Il convertit d'abord le texte en octets UTF-8. Une zone de texte enregistre ses sauts de ligne en LF, donc un texte collé est haché avec des fins de ligne LF, quel que soit le système d'origine. Un fichier enregistré sous Windows se termine généralement chaque ligne par CRLF, et ses octets donnent un hash différent. Ainsi, lorsqu'un éditeur fournit le hash d'un fichier, utilisez le mode Fichier et hachez le fichier lui-même. Si vous devez voir exactement où deux versions diffèrent, Comparer des textes affiche les modifications côte à côte.

Pourquoi MD5 et SHA-1 sont faibles

L'outil propose MD5 et SHA-1 parce que de nombreuses pages de téléchargement anciennes les affichent encore. Pour repérer une corruption, ils conviennent. Une modification accidentelle ne produira que très rarement, par hasard, une valeur MD5 ou SHA-1 identique.

Face à un attaquant, ce n'est pas le cas. Une collision désigne deux entrées différentes qui ont le même hash. Des collisions MD5 peuvent désormais être produites à peu de frais, donc aucun usage de sécurité ne doit reposer sur MD5. Une collision SHA-1 a été démontrée publiquement en 2017, et les navigateurs comme les autorités de certification ont depuis retiré SHA-1 pour les signatures. Si un éditeur ne propose que MD5 ou SHA-1, demandez SHA-256 ou un fichier de sommes de contrôle signé. Pour tout cas où quelqu'un pourrait modifier volontairement le fichier, utilisez SHA-256 ou plus. Aucune attaque pratique connue ne casse SHA-256 à la date de rédaction. Le guide des algorithmes explique lequel choisir.

Réponses rapides

Un hash identique signifie-t-il que le fichier est sûr ? Cela signifie que le fichier est celui qui a été haché. La sécurité dépend de la fiabilité de la source du hash.

Deux fichiers différents peuvent-ils avoir le même SHA-256 ? Pas en pratique. Aucune méthode pratique pour trouver une telle paire n'est connue à la date de rédaction.

Pourquoi mon hash ne correspond-il pas après l'avoir copié ? Vérifiez d'abord l'algorithme. Cherchez ensuite un caractère manquant ou en trop, ou une copie tronquée. La casse et les espaces sont ignorés, ce n'est donc pas la cause.