Cách kiểm tra mã checksum SHA-256 của file tải về ngay trên trình duyệt

Checksum là một dấu vân tay ngắn được tính từ nội dung của file. Nếu bạn băm file đã tải về và kết quả khớp với giá trị nhà phát hành công bố, file đó giống hệt từng byte với file họ đã băm. Chỉ cần một bit khác đi, dấu vân tay sẽ thay đổi hoàn toàn. Kéo file vào công cụ tạo mã hash, dán giá trị đã công bố, và công cụ sẽ cho biết thuật toán nào khớp.

Checksum chứng minh được điều gì

Checksum phát hiện sự thay đổi. Nó bắt được trường hợp file tải về bị dừng giữa chừng, file bị hỏng do kết nối chập chờn hoặc ổ đĩa lỗi, và trường hợp một máy chủ gương cung cấp bản dựng khác với bản gốc. Những lỗi này khá phổ biến, và mã hash khớp là đủ để loại trừ chúng.

Nó không chứng minh được nhà phát hành đáng tin. Giả sử kẻ tấn công có thể thay file trên trang tải về và đồng thời sửa mã hash hiển thị bên cạnh. Hai thứ khớp nhau, và bước kiểm tra vẫn qua. Checksum chỉ đáng tin bằng nơi bạn lấy được mã hash. Để việc kiểm tra có ý nghĩa, mã hash nên đến từ một kênh khác với file: thông báo phát hành có chữ ký, file checksum kèm chữ ký GPG, hồ sơ của trình quản lý gói, hoặc trang chính thức của nhà phát hành mà bạn tự gõ địa chỉ vào. Sao chép mã hash từ cùng một liên kết với file thì chẳng giúp ích gì nhiều trước kẻ tấn công quyết tâm.

Mã hash khớp cũng không cho biết chương trình làm gì. Nó chỉ xác nhận bạn có đúng file mà nhà phát hành đã băm. Việc file đó có an toàn hay không là câu hỏi về nhà phát hành, được trả lời bằng chữ ký, uy tín của nguồn tải và các bước xác minh của dự án (nếu có).

Nhà phát hành công bố mã hash ở đâu

Trước hết, hãy nhìn quanh nút tải về. Nhiều dự án in giá trị SHA-256 ngay trên trang tải. Các dự án lớn thường công bố một file, thường có tên SHA256SUMS hoặc tương tự, mỗi dòng ứng với một bản tải, và đôi khi kèm file chữ ký bên cạnh. Một số nền tảng phần mềm lưu mã hash trong siêu dữ liệu của họ. README và ghi chú phát hành cũng là những nơi thường gặp.

Hãy đọc cả tên thuật toán. Dòng ghi SHA-256 thì cần mã hash SHA-256, tức là 64 ký tự thập lục phân. Giá trị 32 ký tự là MD5, còn 40 ký tự là SHA-1. Công cụ cần biết bạn đang so sánh thuật toán nào, và bạn cũng vậy.

So sánh mã hash theo bốn bước

1. Tải file một lần, từ trang chính thức.
2. Mở công cụ tạo mã hash, chọn File, rồi kéo file vào. Đợi cho xong. File rất lớn có thể mất một lúc và có thể vượt quá dung lượng trình duyệt giữ được trong bộ nhớ.
3. Dán mã hash đã công bố vào Expected hash, optional. Chữ hoa, chữ thường và khoảng trắng đều được bỏ qua, nên giá trị viết hoa sao chép từ trang vẫn dùng được.
4. Tìm kết quả khớp. Công cụ cho biết thuật toán nào khớp. Nếu không thuật toán nào khớp, đừng chạy file. Hãy tải lại. Nếu bản thứ hai vẫn sai, nghĩa là giá trị công bố và file của bạn không khớp nhau, bạn nên hỏi nhà phát hành xem giá trị nào đúng.

Nếu bạn thích dùng terminal, cùng việc kiểm tra này chỉ cần một lệnh. Trên Linux, chạy sha256sum với file. Trên macOS, shasum -a 256 làm điều tương tự. Trong Windows PowerShell, Get-FileHash -Algorithm SHA256 kèm đường dẫn file sẽ cho ra giá trị. Kết quả là chuỗi thập lục phân giống hệt công cụ hiển thị.

Mã hash không chỉ dùng để đối chiếu với giá trị đã công bố. Công cụ kiểm tra file bị hỏng dùng cùng ý tưởng để cho bạn biết file có bị hỏng hay không, và file trùng lặp cũng được tìm theo cách đó: so sánh mã hash để chọn ra các bản sao giống hệt nhau trong một thư mục.

Băm văn bản gõ tay

Chế độ văn bản băm những gì bạn gõ hoặc dán. Trước tiên, nó chuyển văn bản thành các byte UTF-8. Ô văn bản lưu ngắt dòng dưới dạng LF, nên văn bản dán vào được băm với kết thúc dòng LF, bất kể nó đến từ hệ điều hành nào. Một file lưu trên Windows thường kết thúc mỗi dòng bằng CRLF, và các byte của nó cho mã hash khác. Vì vậy, khi nhà phát hành cung cấp mã hash của một file, hãy dùng chế độ File và băm chính file đó. Nếu bạn cần xem chính xác hai phiên bản khác nhau ở đâu, công cụ so sánh văn bản sẽ hiển thị các thay đổi cạnh nhau.

Vì sao MD5 và SHA-1 yếu

Công cụ có MD5 và SHA-1 vì nhiều trang tải cũ vẫn liệt kê chúng. Để phát hiện hỏng dữ liệu thì chúng vẫn dùng được. Một thay đổi ngẫu nhiên gần như không thể tạo ra giá trị MD5 hoặc SHA-1 khớp một cách tình cờ.

Trước kẻ tấn công thì không. Va chạm (collision) là hai đầu vào khác nhau cho cùng một mã hash. Hiện nay có thể tạo va chạm MD5 với chi phí thấp, nên không có mục đích bảo mật nào nên dựa vào MD5. Một va chạm SHA-1 đã được công khai chứng minh vào năm 2017, và từ đó trình duyệt cùng các tổ chức cấp chứng chỉ đã ngừng dùng SHA-1 cho chữ ký. Nếu nhà phát hành chỉ cung cấp MD5 hoặc SHA-1, hãy yêu cầu SHA-256 hoặc file checksum có chữ ký. Với mọi việc mà ai đó có thể cố tình giả mạo file, hãy dùng SHA-256 hoặc mạnh hơn. Tính đến thời điểm viết bài, chưa có cách tấn công thực tế nào đã biết phá được SHA-256. Hướng dẫn chọn thuật toán giải thích nên chọn loại nào.

Trả lời nhanh

Mã hash khớp có nghĩa là file an toàn không? Nó chỉ có nghĩa file là đúng file đã được băm. An toàn hay không phụ thuộc vào việc mã hash có đến từ nguồn bạn tin cậy hay không.

Hai file khác nhau có thể có cùng SHA-256 không? Trong thực tế thì không. Tính đến thời điểm viết bài, chưa biết phương pháp thực tế nào để tìm ra cặp file như vậy.

Vì sao mã hash không khớp sau khi tôi sao chép? Trước hết, hãy kiểm tra thuật toán. Sau đó tìm ký tự bị thiếu hoặc thừa, hoặc bản sao bị cắt cụt. Chữ hoa, chữ thường và khoảng trắng đều được bỏ qua, nên chúng không phải nguyên nhân.