Cara memeriksa checksum SHA-256 unduhan di browser

Checksum adalah sidik jari pendek yang dihitung dari isi sebuah file. Jika Anda membuat hash dari file yang Anda unduh dan hasilnya sama dengan nilai yang dicantumkan penerbit, file tersebut identik byte demi byte dengan file yang mereka hash. Jika satu bit saja berbeda, sidik jarinya berubah total. Masukkan file ke generator hash, tempel nilai yang dipublikasikan, lalu alat akan menunjukkan algoritma mana yang cocok.

Apa yang dibuktikan checksum

Checksum mendeteksi perubahan. Checksum menangkap unduhan yang berhenti di tengah jalan, file yang rusak karena koneksi tidak stabil atau disk yang bermasalah, dan mirror yang menyajikan build berbeda dari aslinya. Kesalahan seperti itu cukup umum, dan hash yang cocok memastikan kesalahan tersebut tidak terjadi.

Checksum tidak membuktikan bahwa penerbitnya tepercaya. Misalkan penyerang bisa mengubah file di halaman unduh sekaligus mengedit hash yang tertera di sebelahnya. Keduanya cocok, dan pemeriksaan lolos. Checksum hanya sebaik sumber tempat Anda mendapatkan hash. Agar pemeriksaan bermakna, hash sebaiknya datang lewat saluran yang berbeda dari file itu sendiri: pengumuman rilis yang ditandatangani, file checksum dengan tanda tangan GPG, catatan package manager, atau situs penerbit yang Anda buka dengan mengetik alamatnya sendiri. Hash yang disalin dari tautan yang sama dengan file hampir tidak menambah perlindungan terhadap penyerang yang gigih.

Hash yang cocok juga tidak berkata apa-apa tentang apa yang dilakukan program tersebut. Hash hanya memastikan Anda memiliki file yang di-hash oleh penerbit. Apakah file itu aman adalah pertanyaan tentang penerbitnya, yang dijawab oleh tanda tangan, reputasi sumber, dan langkah verifikasi proyek itu sendiri, jika ada.

Di mana penerbit mencantumkan hash

Cari di dekat tombol unduh terlebih dahulu. Banyak proyek mencetak nilai SHA-256 di halaman unduh. Proyek yang lebih besar sering menerbitkan sebuah file, biasanya bernama SHA256SUMS atau serupa, dengan satu baris untuk setiap unduhan, dan kadang disertai file tanda tangan di sebelahnya. Beberapa platform perangkat lunak menyimpan hash di metadata mereka sendiri. README dan catatan rilis adalah tempat lazim lainnya.

Perhatikan juga nama algoritmanya. Baris yang tertulis SHA-256 membutuhkan hash SHA-256, yaitu 64 karakter heksadesimal. Nilai 32 karakter adalah MD5, dan 40 karakter adalah SHA-1. Alat perlu tahu mana yang sedang Anda bandingkan, begitu pula Anda.

Bandingkan hash dalam empat langkah

1. Unduh file sekali, dari halaman resmi.
2. Buka generator hash, pilih File, lalu masukkan file tersebut. Tunggu sampai selesai. File yang sangat besar bisa memakan waktu lama dan mungkin melebihi kapasitas memori yang bisa ditampung browser.
3. Tempel hash yang dipublikasikan ke Hash yang diharapkan, opsional. Huruf besar-kecil dan spasi diabaikan, sehingga nilai huruf kapital yang disalin dari halaman tetap bisa dipakai.
4. Cari kecocokannya. Alat menunjukkan algoritma yang cocok. Jika tidak ada yang cocok, jangan jalankan file tersebut. Unduh ulang. Jika salinan kedua juga gagal, nilai yang dipublikasikan dan file Anda tidak sama, dan Anda sebaiknya menanyakan kepada penerbit mana yang benar.

Jika Anda lebih suka terminal, pemeriksaan yang sama cukup dengan satu perintah. Di Linux, jalankan sha256sum pada file tersebut. Di macOS, shasum -a 256 melakukan hal yang sama. Di Windows PowerShell, Get-FileHash -Algorithm SHA256 dengan path file akan menampilkan nilainya. Keluarannya sama dengan string heksadesimal yang ditampilkan alat.

Hash tidak hanya untuk mencocokkan nilai yang dipublikasikan. Periksa kerusakan file menggunakan gagasan yang sama untuk memberi tahu apakah sebuah file rusak, dan cari file duplikat juga dilakukan dengan cara serupa, yaitu dengan membandingkan hash untuk menemukan salinan identik dalam sebuah folder.

Hash teks yang diketik

Mode teks menghitung hash dari apa yang Anda ketik atau tempel. Teks lebih dulu dikonversi ke byte UTF-8. Kotak teks menyimpan pemisah baris sebagai LF, sehingga teks yang ditempel di-hash dengan akhir baris LF, apa pun sistem asalnya. File yang disimpan di Windows biasanya mengakhiri setiap baris dengan CRLF, dan byte-nya menghasilkan hash yang berbeda. Jadi, saat penerbit memberikan hash sebuah file, gunakan mode File dan hash file itu sendiri. Jika Anda perlu melihat persis di mana dua versi berbeda, alat bandingkan teks menampilkan perubahan secara berdampingan.

Mengapa MD5 dan SHA-1 lemah

Alat ini menyediakan MD5 dan SHA-1 karena banyak halaman unduh lama masih mencantumkannya. Untuk mendeteksi kerusakan, keduanya cukup memadai. Perubahan yang tidak disengaja hampir mustahil menghasilkan nilai MD5 atau SHA-1 yang kebetulan sama.

Terhadap penyerang, keduanya tidak memadai. Tabrakan (collision) adalah dua input berbeda yang menghasilkan hash yang sama. Tabrakan MD5 kini bisa dibuat dengan murah, sehingga tidak ada keperluan keamanan yang boleh bergantung pada MD5. Tabrakan SHA-1 didemonstrasikan secara publik pada 2017, dan browser serta otoritas sertifikat sejak itu tidak lagi menggunakan SHA-1 untuk tanda tangan. Jika penerbit hanya menyediakan MD5 atau SHA-1, mintalah SHA-256 atau file checksum yang ditandatangani. Untuk apa pun yang mungkin dimanipulasi secara sengaja, gunakan SHA-256 atau yang lebih kuat. Hingga saat penulisan ini, tidak ada serangan praktis yang diketahui yang dapat memecahkan SHA-256. Panduan algoritma membahas cara memilih salah satunya.

Jawaban singkat

Apakah hash yang cocok berarti file aman? Artinya file tersebut adalah file yang di-hash. Keamanannya bergantung pada apakah hash berasal dari sumber yang Anda percaya.

Bisakah dua file berbeda memiliki SHA-256 yang sama? Dalam praktik, tidak. Hingga saat penulisan ini, tidak ada metode praktis yang diketahui untuk menemukan pasangan seperti itu.

Mengapa hash saya tidak cocok setelah saya menyalinnya? Periksa algoritmanya terlebih dahulu. Lalu cari karakter yang hilang atau berlebih, atau salinan yang terpotong. Huruf besar-kecil dan spasi diabaikan, jadi keduanya bukan penyebabnya.