Letöltött fájl SHA-256 ellenőrző összegének ellenőrzése böngészőben

Az ellenőrző összeg a fájl tartalmából számított rövid ujjlenyomat. Ha kiszámolod a letöltött fájl hash-ét, és az eredmény egyezik a kiadó által közölt értékkel, akkor a fájl bájtról bájtra megegyezik azzal, amelyet a kiadó hash-elt. Ha akár egyetlen bit eltér, az ujjlenyomat teljesen megváltozik. Húzd a fájlt a hash-generátorba, illeszd be a közzétett értéket, és az eszköz megmutatja, melyik algoritmus egyezik.

Mit bizonyít az ellenőrző összeg

Az ellenőrző összeg a változást mutatja ki. Észreveszi azt a letöltést, amely félbeszakadt, azt a fájlt, amelyet egy megbízhatatlan kapcsolat vagy egy hibás lemez sérített meg, és azt a tükörszervert, amely az eredetitől eltérő buildet szolgál ki. Ezek a hibák gyakoriak, és az egyező hash kizárja őket.

Nem bizonyítja, hogy a kiadó megbízható. Tegyük fel, hogy egy támadó megváltoztatja a fájlt a letöltőoldalon, és a mellette látható hash-t is. A kettő egyezik, és az ellenőrzés sikeres. Az ellenőrző összeg csak annyit ér, amennyire megbízható az a hely, ahonnan a hash-t kaptad. Az értelmes ellenőrzéshez a hash-nek a fájltól eltérő csatornán kell érkeznie: aláírt kiadási közleményben, GPG-aláírással ellátott ellenőrző fájlban, csomagkezelő adataiban, vagy úgy, hogy a kiadó oldalát saját kezűleg írod be a címsorba. Ha a hash-t ugyanarról a linkről másolod, mint magát a fájlt, egy elszánt támadó ellen keveset ér.

Az egyező hash arról sem mond semmit, mit csinál a program. Csak azt igazolja, hogy azt a fájlt kapod, amelyet a kiadó hash-elt. Hogy ez a fájl biztonságos-e, az a kiadóról szól, és az aláírás, a forrás hírneve és a projekt saját ellenőrzési lépései döntik el, ha vannak ilyenek.

Hol teszik közzé a kiadók a hash-eket

Először a letöltés gomb környékén nézz körül. Sok projekt kiírja a SHA-256 értéket a letöltőoldalra. A nagyobb projektek gyakran tesznek közzé egy fájlt, általában SHA256SUMS vagy hasonló néven, soronként egy letöltéssel, és néha mellette egy aláírásfájlt is. Egyes szoftverplatformok a hash-eket saját metaadataikban tárolják. A README és a kiadási jegyzetek a másik szokásos helyek.

Figyelj az algoritmus nevére is. Ha a sor SHA-256-ot ír, akkor SHA-256 hash kell hozzá, ami 64 hexadecimális karakter. A 32 karakteres érték MD5, a 40 karakteres SHA-1. Az eszköznek tudnia kell, melyikkel hasonlítasz össze, és neked is.

Hasonlítsd össze a hash-t négy lépésben

1. Töltsd le a fájlt egyszer, a hivatalos oldalról.
2. Nyisd meg a hash-generátort, válaszd a Fájl lehetőséget, és húzd be a fájlt. Várj, amíg befejeződik. A nagyon nagy fájlok eltarthatnak egy ideig, és meghaladhatják, amennyi memóriát a böngésző kezelni tud.
3. Illeszd be a közzétett hash-t az Elvárt hash (opcionális) mezőbe. A kis- és nagybetűk, valamint a szóközök figyelmen kívül maradnak, így egy oldalról másolt nagybetűs érték is jó.
4. Keresd az egyezést. Az eszköz megmutatja, melyik algoritmus egyezik. Ha egyik sem, ne futtasd a fájlt. Töltsd le újra. Ha a második példány is hibás, a közzétett érték és a fájlod nem egyezik, és meg kell kérdezned a kiadót, melyik a helyes.

Ha inkább terminált használsz, ugyanez az ellenőrzés egyetlen paranccsal megoldható. Linuxon futtasd a sha256sum parancsot a fájlon. macOS-en a shasum -a 256 ugyanezt adja. A Windows PowerShellben a Get-FileHash -Algorithm SHA256 a fájl elérési útjával megadja az értéket. A kimenet ugyanaz a hexadecimális karakterlánc, amelyet az eszköz mutat.

A hash nem csak közzétett érték egyeztetésére való. A Fájl sérülésének ellenőrzése eszköz ugyanezt az ötletet használja annak megállapítására, hogy sérült-e egy fájl. A Duplikált fájlok keresése is hasonlóan működik: hash-ek összevetésével keresi ki az azonos másolatokat egy mappában.

Szöveg hash-elése

A szöveges mód a begépelt vagy beillesztett szöveget hash-eli. Először UTF-8 bájtokká alakítja. A szövegmező a sortöréseket LF-ként tárolja, így a beillesztett szöveg LF sorvégekkel kerül hash-elésre, bármelyik rendszerből származik. A Windowsban mentett fájl soronként általában CRLF-et használ, és bájtjai másként hash-elődnek. Ha tehát a kiadó egy fájl hash-ét adja meg, használd a fájl módot, és magát a fájlt hash-eld. Ha pontosan látni akarod, hol térnek el két verzió, a Szövegek összehasonlítása eszköz egymás mellett mutatja a változásokat.

Miért gyenge az MD5 és a SHA-1

Az eszköz kínálja az MD5-öt és a SHA-1-et, mert sok régi letöltőoldal még ezeket adja meg. Sérülés kimutatására ezek is megfelelők. Véletlen változás rendkívül valószínűtlen, hogy véletlenül egyező MD5 vagy SHA-1 értéket adjon.

Támadó ellen viszont nem. Az ütközés két különböző bemenet azonos hash-e. Az MD5-ütközések ma már olcsón előállíthatók, ezért biztonsági célra egyetlen rendszer se támaszkodjon az MD5-re. A SHA-1 ütközését 2017-ben nyilvánosan bemutatták, a böngészők és a tanúsítványkibocsátók azóta kivezették a SHA-1-et az aláírásoknál. Ha a kiadó csak MD5-öt vagy SHA-1-et ad, kérj SHA-256-ot vagy aláírt ellenőrző fájlt. Mindenhol, ahol valaki szándékosan módosíthatja a fájlt, használj SHA-256-ot vagy erősebbet. A jelen írás idején nincs ismert, gyakorlatban működő támadás, amely a SHA-256-ot törné. Az algoritmus-útmutató segít kiválasztani, melyiket használd.

Gyors válaszok

Azt jelenti, hogy a fájl biztonságos, ha egyezik a hash? Azt jelenti, hogy a fájl az, amelyet hash-eltek. A biztonság attól függ, hogy a hash megbízható forrásból származik-e.

Lehet két különböző fájlnak azonos SHA-256 értéke? Gyakorlatban nem. A jelen írás idején nem ismert gyakorlati módszer ilyen pár megtalálására.

Miért nem egyezik a hash, miután kimásoltam? Először az algoritmust ellenőrizd. Aztán keress hiányzó vagy plusz karaktert, vagy csonka másolatot. A kis- és nagybetűk és a szóközök figyelmen kívül maradnak, így azok nem okozzák.