ब्राउज़र में डाउनलोड का SHA-256 चेकसम कैसे जाँचें

चेकसम फ़ाइल की सामग्री से निकाला गया एक छोटा फ़िंगरप्रिंट है। अगर आप डाउनलोड की गई फ़ाइल का हैश निकालें और नतीजा प्रकाशक द्वारा दिए गए मान से मेल खाए, तो फ़ाइल बिल्कुल वही है जिसका हैश प्रकाशक ने बनाया था। एक भी बिट अलग हो तो फ़िंगरप्रिंट पूरी तरह बदल जाता है। हैश जनरेटर में फ़ाइल डालें, प्रकाशित मान चिपकाएँ, और टूल बताएगा कि कौन-सा एल्गोरिदम मेल खाता है।

चेकसम क्या साबित करता है

चेकसम बदलाव पकड़ता है। यह उस डाउनलोड को पकड़ता है जो बीच में रुक गया, कमज़ोर कनेक्शन या खराब डिस्क से खराब हुई फ़ाइल, और ऐसा मिरर जो मूल से अलग बिल्ड दे रहा है। ये गड़बड़ियाँ आम हैं, और हैश मेल खाए तो ये सब खारिज हो जाती हैं।

इससे यह साबित नहीं होता कि प्रकाशक भरोसेमंद है। मान लीजिए कोई हमलावर डाउनलोड पेज पर फ़ाइल बदल दे और उसके बगल में दिखाया गया हैश भी बदल दे। दोनों मेल खाएँगे और जाँच पास हो जाएगी। चेकसम उतना ही भरोसेमंद है जितनी जगह से आपको हैश मिला। सार्थक जाँच के लिए हैश फ़ाइल से अलग रास्ते से आना चाहिए: हस्ताक्षरित रिलीज़ घोषणा, GPG हस्ताक्षर वाली चेकसम फ़ाइल, पैकेज मैनेजर का रिकॉर्ड, या प्रकाशक की साइट जिस पर आप ख़ुद पता टाइप करके पहुँचें। जिस लिंक से फ़ाइल ली, उसी लिंक से कॉपी किया गया हैश किसी दृढ़ हमलावर के ख़िलाफ़ कुछ ख़ास काम नहीं आता।

मेल खाता हैश यह भी नहीं बताता कि प्रोग्राम क्या करता है। वह सिर्फ़ इतना पक्का करता है कि आपके पास वही फ़ाइल है जिसका हैश प्रकाशक ने बनाया था। वह फ़ाइल सुरक्षित है या नहीं, यह प्रकाशक के बारे में सवाल है, और इसका जवाब हस्ताक्षर, स्रोत की साख और प्रोजेक्ट के अपने सत्यापन के कदमों से मिलता है, अगर वे मौजूद हों।

प्रकाशक हैश कहाँ देते हैं

सबसे पहले डाउनलोड बटन के आसपास देखें। कई प्रोजेक्ट डाउनलोड पेज पर SHA-256 मान छापते हैं। बड़े प्रोजेक्ट अक्सर SHA256SUMS जैसे नाम की एक फ़ाइल देते हैं, जिसमें हर डाउनलोड के लिए एक पंक्ति होती है, और कभी-कभी उसके साथ एक हस्ताक्षर फ़ाइल भी। कुछ सॉफ़्टवेयर प्लेटफ़ॉर्म हैश को अपने मेटाडेटा में रखते हैं। README और रिलीज़ नोट्स बाकी आम जगहें हैं।

एल्गोरिदम का नाम भी पढ़ें। जिस पंक्ति में SHA-256 लिखा हो, उसके लिए SHA-256 हैश चाहिए, जो 64 हेक्साडेसिमल अक्षरों का होता है। 32 अक्षरों का मान MD5 है, और 40 अक्षरों का SHA-1। टूल को पता होना चाहिए कि आप कौन-सा मान मिला रहे हैं, और आपको भी।

चार चरणों में हैश की तुलना करें

1. आधिकारिक पेज से फ़ाइल एक बार डाउनलोड करें।
2. हैश जनरेटर खोलें, File चुनें, और फ़ाइल डाल दें। पूरा होने तक इंतज़ार करें। बहुत बड़ी फ़ाइलों में समय लग सकता है, और हो सकता है वे ब्राउज़र की मेमोरी में न समाएँ।
3. प्रकाशित हैश को Expected hash, optional में चिपकाएँ। बड़े-छोटे अक्षर और स्पेस अनदेखे किए जाते हैं, इसलिए पेज से कॉपी किया गया बड़े अक्षरों वाला मान भी चलेगा।
4. मेल देखें। टूल बताता है कि कौन-सा एल्गोरिदम मेल खाता है। अगर कोई मेल न खाए, तो फ़ाइल न चलाएँ। उसे दोबारा डाउनलोड करें। अगर दूसरी कॉपी भी फ़ेल हो, तो प्रकाशित मान और आपकी फ़ाइल आपस में मेल नहीं खाते, और आपको प्रकाशक से पूछना चाहिए कि सही कौन-सा है।

अगर आप टर्मिनल पसंद करते हैं, तो वही जाँच एक कमांड में हो जाती है। Linux पर फ़ाइल पर sha256sum चलाएँ। macOS पर shasum -a 256 वही काम करता है। Windows PowerShell में फ़ाइल का पाथ देकर Get-FileHash -Algorithm SHA256 चलाने से मान मिलता है। नतीजा वही हेक्साडेसिमल स्ट्रिंग है जो टूल दिखाता है।

हैश सिर्फ़ प्रकाशित मान मिलाने के काम नहीं आता। करप्शन जाँच इसी विचार से पता लगाती है कि फ़ाइल खराब है या नहीं, और डुप्लिकेट फ़ाइलें भी इसी तरह मिलती हैं, यानी किसी फ़ोल्डर में एक जैसी कॉपियाँ हैश की तुलना करके पहचानी जाती हैं।

टाइप किए गए टेक्स्ट का हैश

टेक्स्ट मोड में आप जो टाइप या पेस्ट करते हैं, उसका हैश निकलता है। यह पहले टेक्स्ट को UTF-8 बाइट्स में बदलता है। टेक्स्ट बॉक्स अपनी लाइन ब्रेक LF के रूप में रखता है, इसलिए पेस्ट किया गया टेक्स्ट चाहे किसी भी सिस्टम से आया हो, LF लाइन एंड के साथ हैश होता है। Windows पर सेव की गई फ़ाइल में आम तौर पर हर पंक्ति CRLF से खत्म होती है, और उसके बाइट्स अलग हैश देते हैं। इसलिए जब प्रकाशक किसी फ़ाइल का हैश दे, तो File मोड चुनें और फ़ाइल को ही हैश करें। अगर आपको देखना है कि दो संस्करण कहाँ अलग हैं, तो टेक्स्ट तुलना टूल बदलाव साथ-साथ दिखाता है।

MD5 और SHA-1 कमज़ोर क्यों हैं

टूल MD5 और SHA-1 इसलिए देता है क्योंकि कई पुराने डाउनलोड पेज अब भी इन्हें दिखाते हैं। गड़बड़ी पकड़ने के लिए ये ठीक हैं। किसी संयोग से हुआ बदलाव मेल खाने वाला MD5 या SHA-1 मान बनाए, इसकी संभावना बेहद कम है।

हमलावर के ख़िलाफ़ ये सुरक्षित नहीं हैं। टक्कर (collision) का मतलब है दो अलग इनपुट जिनका हैश एक ही हो। MD5 की टक्कर अब सस्ते में बनाई जा सकती है, इसलिए किसी सुरक्षा काम में MD5 पर भरोसा नहीं करना चाहिए। SHA-1 की टक्कर 2017 में सार्वजनिक रूप से दिखाई गई थी, और उसके बाद ब्राउज़र और सर्टिफ़िकेट अथॉरिटी हस्ताक्षरों के लिए SHA-1 को हटा चुके हैं। अगर प्रकाशक सिर्फ़ MD5 या SHA-1 दे, तो SHA-256 या हस्ताक्षरित चेकसम फ़ाइल माँगें। जहाँ कोई जान-बूझकर फ़ाइल से छेड़छाड़ कर सकता हो, वहाँ SHA-256 या उससे मज़बूत एल्गोरिदम इस्तेमाल करें। लिखे जाने के समय तक SHA-256 को तोड़ने वाला कोई ज्ञात व्यावहारिक हमला नहीं है। कौन-सा एल्गोरिदम चुनें, यह एल्गोरिदम गाइड में बताया गया है।

त्वरित जवाब

क्या मेल खाता हैश मतलब है कि फ़ाइल सुरक्षित है? इसका मतलब है कि फ़ाइल वही है जिसका हैश बना था। सुरक्षा इस पर निर्भर है कि हैश किस स्रोत से आया।

क्या दो अलग फ़ाइलों का SHA-256 एक हो सकता है? व्यवहार में नहीं। लिखे जाने के समय ऐसा जोड़ा खोजने का कोई ज्ञात व्यावहारिक तरीका नहीं है।

कॉपी करने के बाद मेरा हैश मेल क्यों नहीं खा रहा? पहले एल्गोरिदम जाँचें। फिर देखें कि कोई अक्षर छूट तो नहीं गया या ज़्यादा तो नहीं जुड़ गया, या कॉपी अधूरी तो नहीं। बड़े-छोटे अक्षर और स्पेस अनदेखे होते हैं, इसलिए उनकी वजह से गड़बड़ी नहीं होती।