MD5, SHA-1 या SHA-256: डाउनलोड के लिए कौन-सा हैश चुनें

डाउनलोड जाँचने के लिए, जब भी प्रकाशक दे, SHA-256 या SHA-512 इस्तेमाल करें। MD5 और SHA-1 अब भी अधूरे डाउनलोड जैसी गड़बड़ी पकड़ लेते हैं, लेकिन शोधकर्ताओं ने दिखाया है कि दो अलग फ़ाइलों के MD5 या SHA-1 हैश एक जैसे बनाए जा सकते हैं। इसलिए इन एल्गोरिदम का मिलान यह साबित नहीं कर सकता कि फ़ाइल वही है जो प्रकाशक ने बनाई थी। हैश एक फ़िंगरप्रिंट है, एन्क्रिप्शन नहीं, और यह तभी मायने रखता है जब वह किसी भरोसेमंद स्रोत से आया हो।

हैश क्या करता है, और क्या नहीं करता

हैश फ़ंक्शन किसी भी आकार के डेटा को एक निश्चित लंबाई के फ़िंगरप्रिंट में बदल देता है। एक ही इनपुट हमेशा एक ही फ़िंगरप्रिंट देता है, और एक बाइट बदलने पर फ़िंगरप्रिंट पूरी तरह अलग हो जाता है। इसी से हैश तुलना के लिए उपयोगी है: अगर आपकी कॉपी का फ़िंगरप्रिंट प्रकाशित फ़िंगरप्रिंट से मेल खाता है, तो दोनों फ़ाइलें लगभग निश्चित रूप से एक जैसी हैं।

हैश एन्क्रिप्शन नहीं है। इसे उलटकर फ़ाइल वापस नहीं पाई जा सकती, और इसमें कोई की (key) नहीं होती। यह कुछ छिपाता नहीं, और अकेले यह भी नहीं बताता कि फ़ाइल किसने बनाई। चेकसम बस वह हैश है जिसे प्रकाशक डाउनलोड के बगल में छापता है, ताकि आप तुलना कर सकें।

चार आम विकल्प

MD5 और SHA-1 काफ़ी क्यों नहीं हैं

कोलिज़न का मतलब है दो अलग इनपुट जिनका हैश एक ही हो। MD5 में कोलिज़न 2004 से ज्ञात हैं। 2017 में शोधकर्ताओं ने एक व्यावहारिक SHA-1 कोलिज़न प्रकाशित किया, यानी दो अलग PDF फ़ाइलें जिनका हैश एक ही है।

डाउनलोड के मामले में यह मायने रखता है, क्योंकि जो हमलावर फ़ाइल पर नियंत्रण रखता है, वह असली फ़ाइल जैसा ही MD5 या SHA-1 हैश वाला दुर्भावनापूर्ण संस्करण बना सकता है। अगर प्रकाशक सिर्फ़ MD5 या SHA-1 सूचीबद्ध करता है, तो मिलान से यह साबित नहीं होता कि फ़ाइल असली है। हैश जनरेटर के अपने FAQ में भी यही बात कही गई है: सुरक्षा से जुड़ी किसी भी चीज़ के लिए SHA-256 या SHA-512 इस्तेमाल करें।

लिखने के समय तक कोई व्यावहारिक SHA-256 कोलिज़न ज्ञात नहीं है, इसलिए SHA-256 ही आमतौर पर चुना जाता है। SHA-256 चेकसम गाइड में चरण बताए गए हैं।

सही विकल्प चुनें

1. अगर प्रकाशक SHA-256 या SHA-512 देता है, तो वही लें और सुरक्षा के लिए MD5 और SHA-1 को एक तरफ़ रखें।
2. अगर सिर्फ़ MD5 या SHA-1 दिया गया है, तब भी हैश जनरेटर से जाँच लें। यह अधूरे या खराब डाउनलोड को पकड़ लेता है। मिलान को "खराब नहीं है" मानें, "असली है" नहीं।
3. अगर कोई हैश नहीं दिया गया है, तो इस तरीके से अखंडता की जाँच नहीं हो सकती। आधिकारिक पेज से HTTPS पर डाउनलोड करें, और जहाँ प्रोजेक्ट साइन किए गए चेकसम फ़ाइल देता है, वहाँ उसके हस्ताक्षर की जाँच करें।

हैश जनरेटर एक साथ MD5, SHA-1, SHA-256, SHA-384 और SHA-512 निकालता है, चाहे टेक्स्ट हो या कोई एक फ़ाइल। फ़ाइल आपके ब्राउज़र में ही पढ़ी जाती है और कुछ भी अपलोड नहीं होता। प्रकाशक का हैश "अपेक्षित हैश" वाले खाने में चिपकाएँ। तुलना से पहले टूल स्पेस हटा देता है और बड़े-छोटे अक्षरों को अनदेखा करता है, इसलिए बड़े अक्षरों में या गुटों में छपा हैश भी मेल खाएगा। बहुत बड़ी फ़ाइलों से ब्राउज़र की मेमोरी पर दबाव पड़ सकता है। ऐसे में Linux पर sha256sum, या Mac पर shasum -a 256 जैसे कमांड-लाइन टूल इस्तेमाल करें।

मिलान से क्या पता चलता है

हैश मेल खाने का मतलब है कि आपकी कॉपी लगभग निश्चित रूप से उस फ़ाइल जैसी है जिसका हैश निकाला गया था। इससे यह पता नहीं चलता कि हैश किसने निकाला, या जिस फ़ाइल का हैश था, वही वह फ़ाइल थी जो प्रकाशक देना चाहता था। इसके लिए स्रोत एल्गोरिदम से ज़्यादा मायने रखता है। अगर हैश प्रकाशक के अपने रिलीज़ पेज से आया है, और आप वह पेज किसी संदेश के लिंक के बजाय सीधे खुद खोलकर पहुँचे हैं, तो मिलान मज़बूत सबूत है। अगर हैश किसी टिप्पणी, मिरर या फ़ोरम से आया है, तो उसे तब तक अपुष्ट मानें जब तक वह किसी भरोसेमंद पेज पर न मिल जाए।

चेकसम के लिए भरोसेमंद स्रोत चाहिए

जो चेकसम उसी सर्वर पर रखा हो जहाँ फ़ाइल है, वह सिर्फ़ इतना साबित करता है कि कॉपी उस सर्वर पर रखी चीज़ से मेल खाती है। अगर हमलावर फ़ाइल बदल दे, तो वह उसके बगल का चेकसम भी बदल सकता है। चेकसम तब मदद करता है जब वह किसी अलग जगह से आए, जैसे प्रोजेक्ट के साइन किए हुए रिलीज़ नोट्स, या ऐसा पेज जिस तक आप डाउनलोड लिंक से हटकर अलग से पहुँचे हों।

पासवर्ड के हैश अलग होते हैं

पासवर्ड सहेजने में भी हैशिंग होती है, लेकिन वहाँ पासवर्ड के लिए बनाया गया धीमा हैश चाहिए, और हर पासवर्ड के लिए अलग सॉल्ट। SHA-256 जैसा तेज़ हैश वहाँ गलत औज़ार है। डाउनलोड के लिए काम तुलना का है, और उसमें SHA-256 अच्छा काम करता है।

विशेष स्थितियाँ

• अक्षरों का आकार। हेक्स अक्षर A से F दोनों रूपों में एक जैसे हैं, इसलिए बड़े-छोटे अक्षरों की परवाह किए बिना तुलना करें।
• कटे हुए हैश। कुछ साइटें हैश की सिर्फ़ शुरुआत छापती हैं। छोटा मिलान कम साबित करता है, इसलिए पूरा मान मिलाएँ।
• कई फ़ाइलें। कुछ प्रोजेक्ट पूरे रिलीज़ के लिए एक ही चेकसम फ़ाइल देते हैं। सही फ़ाइल का नाम वाली पंक्ति ढूँढें, क्योंकि किसी और फ़ाइल की पंक्ति से मेल खाना कुछ साबित नहीं करता।