Slik sjekker du SHA-256-sjekksummen til en nedlasting i nettleseren

En sjekksum er et kort fingeravtrykk som beregnes ut fra innholdet i en fil. Hvis du hasher filen du lastet ned, og resultatet stemmer med verdien utgiveren oppgir, er filen identisk, bit for bit, med den utgiveren hashet. Hvis bare én bit er forskjellig, blir fingeravtrykket helt annerledes. Dra filen inn i hashgeneratoren, lim inn den publiserte verdien, så viser verktøyet hvilken algoritme som stemmer.

Hva en sjekksum beviser

En sjekksum oppdager endringer. Den fanger opp en nedlasting som brøt av halvveis, en fil som er skadet av en ustabil tilkobling eller en feilende disk, og en speilserver som leverer en annen versjon enn originalen. Slike feil er vanlige, og en samsvarende hash utelukker dem.

Den beviser ikke at utgiveren er pålitelig. Tenk deg at en angriper kan endre filen på en nedlastingsside og også redigere hashen som vises ved siden av. De to stemmer overens, og kontrollen går gjennom. En sjekksum er bare så pålitelig som stedet du fikk hashen fra. For en meningsfull kontroll bør hashen komme via en annen kanal enn filen: en signert utgivelseskunngjøring, en sjekksumfil med GPG-signatur, en pakkehåndterers registre, eller utgiverens side som du åpner ved å skrive adressen selv. En hash kopiert fra samme lenke som filen gir liten beskyttelse mot en besluttsom angriper.

En samsvarende hash sier heller ingenting om hva programmet gjør. Den bekrefter at du har filen utgiveren hashet. Om filen er trygg, er et spørsmål om utgiveren, og det avgjøres av signaturen, kildens omdømme og prosjektets egne verifiseringssteg, hvis de finnes.

Hvor utgivere oppgir hasher

Se først etter nær nedlastingsknappen. Mange prosjekter skriver SHA-256-verdien på nedlastingssiden. Større prosjekter publiserer ofte en fil, vanligvis kalt SHA256SUMS eller noe lignende, med én linje per nedlasting, og noen ganger en signaturfil ved siden av. Enkelte programvareplattformer har hasher i sine egne metadata. README og utgivelsesnotater er de andre vanlige stedene.

Les også navnet på algoritmen. En linje som sier SHA-256, trenger en SHA-256-hash, som består av 64 heksadesimale tegn. En verdi på 32 tegn er MD5, og 40 tegn er SHA-1. Verktøyet må vite hvilken du sammenligner, og det må du også.

Sammenlign hashen i fire steg

1. Last ned filen én gang, fra den offisielle siden.
2. Åpne hashgeneratoren, velg Fil, og dra filen inn. Vent til den er ferdig. Svært store filer kan ta en stund, og de kan overskride det nettleseren klarer å holde i minnet.
3. Lim inn den publiserte hashen i Forventet hash, valgfri. Store og små bokstaver og mellomrom ignoreres, så en versal verdi kopiert fra en side fungerer.
4. Se etter treff. Verktøyet viser hvilken algoritme som stemmer. Hvis ingen stemmer, må du ikke kjøre filen. Last den ned på nytt. Hvis også den andre kopien feiler, er den publiserte verdien og filen din uenige, og du bør spørre utgiveren hvilken som er riktig.

Foretrekker du terminalen, tar samme kontroll én kommando. På Linux kjører du sha256sum på filen. På macOS gjør shasum -a 256 det samme. I Windows PowerShell gir Get-FileHash -Algorithm SHA256 med filstien verdien. Resultatet er samme heksadesimale streng som verktøyet viser.

Hash er ikke bare til for å sammenligne med en publisert verdi. Sjekk om fil er skadet bruker samme idé for å fortelle deg om en fil er skadet, og duplikate filer finnes på samme måte, ved å sammenligne hasher for å finne identiske kopier i en mappe.

Hashing av skrevet tekst

Tekstmodus hasher det du skriver eller limer inn. Den konverterer først teksten til UTF-8-bytes. Et tekstfelt lagrer linjeskift som LF, så innlimt tekst hashes med LF-linjeskift, uansett hvilket system den kom fra. En fil lagret i Windows avslutter vanligvis hver linje med CRLF, og bytene hasher annerledes. Når en utgiver oppgir hashen til en fil, bruk derfor filmodus og hash selve filen. Trenger du å se nøyaktig hvor to versjoner er forskjellige, viser verktøyet Sammenlign tekst endringene side om side.

Hvorfor MD5 og SHA-1 er svake

Verktøyet tilbyr MD5 og SHA-1 fordi mange eldre nedlastingssider fortsatt oppgir dem. Til å oppdage skade er de greie. En utilsiktet endring vil svært sjelden gi en samsvarende MD5- eller SHA-1-verdi ved en tilfeldighet.

Mot en angriper er de ikke greie. En kollisjon er to forskjellige inndata med samme hash. MD5-kollisjoner kan nå lages billig, så ingen sikkerhetsbruk bør stole på MD5. En SHA-1-kollisjon ble offentlig demonstrert i 2017, og nettlesere og sertifikatutstedere har siden faset ut SHA-1 for signaturer. Hvis en utgiver bare tilbyr MD5 eller SHA-1, be om SHA-256 eller en signert sjekksumfil. For alt der noen kan tenkes å manipulere filen med vilje, bruk SHA-256 eller sterkere. Ingen kjent praktisk angrep bryter SHA-256 per skrivende stund. Guiden om algoritmer forklarer hvilken du bør velge.

Raske svar

Betyr en samsvarende hash at filen er trygg? Den betyr at filen er den som ble hashet. Om den er trygg, avhenger av om hashen kom fra en kilde du stoler på.

Kan to forskjellige filer ha samme SHA-256? Ikke i praksis. Ingen praktisk metode for å finne et slikt par er kjent per skrivende stund.

Hvorfor stemmer ikke hashen min etter at jeg kopierte den? Sjekk algoritmen først. Se deretter etter et manglende eller ekstra tegn, eller en avkortet kopi. Store og små bokstaver og mellomrom ignoreres, så de er ikke årsaken.