MD5、SHA-1 還是 SHA-256：下載檔案該用哪一種雜湊值

為下載的檔案做檢查時，只要發行者有提供，就請使用 SHA-256 或 SHA-512。MD5 和 SHA-1 仍能發現意外損壞，例如下載中途被截斷，但研究人員已證明，可以讓兩個不同的檔案產生相同的 MD5 或 SHA-1 雜湊值。因此，這兩種演算法比對相符，無法證明檔案就是發行者當初製作的那一個。雜湊值是指紋，不是加密，只有來自你信任的來源時才有意義。

雜湊值能做什麼，又不能做什麼

雜湊函式會把任意大小的資料轉換成固定長度的指紋。同樣的輸入永遠得到同樣的指紋，而只要改動一個位元組，指紋就會完全不同。因此雜湊值很適合用來比對：如果你手上檔案的指紋與公布的指紋相符，兩個檔案幾乎可以確定完全相同。

雜湊值不是加密。它無法反推還原出檔案，也不需要金鑰。它不會隱藏任何東西，本身也無法證明檔案是誰做的。校驗碼其實就是發行者放在下載連結旁、供你比對的雜湊值。

四種常見的選擇

為什麼 MD5 和 SHA-1 不夠用

碰撞（collision）是指兩個不同的輸入產生相同的雜湊值。MD5 的碰撞從 2004 年起就已為人所知。2017 年，研究人員公布了實際可行的 SHA-1 碰撞，也就是兩個不同的 PDF 檔案共用同一個雜湊值。

對下載來說，這一點很重要：控制檔案的攻擊者可以製作一個惡意版本，讓它的 MD5 或 SHA-1 雜湊值與正版相同。如果發行者只列出 MD5 或 SHA-1，比對相符就無法證明檔案是正版。雜湊產生器自己的常見問題也提到同樣的重點：凡是與安全有關的用途，都應使用 SHA-256 或 SHA-512。

截至撰寫本文時，尚未發現實際可行的 SHA-256 碰撞，這也是 SHA-256 成為常見選擇的原因。SHA-256 校驗碼指南一步步說明了操作方式。

選對演算法

1. 如果發行者提供 SHA-256 或 SHA-512，就用它，安全用途上則不必再理會 MD5 和 SHA-1。
2. 如果只提供 MD5 或 SHA-1，仍然可以用雜湊產生器比對，它還是能發現損壞或不完整的下載。比對相符時，只能說明「沒有損壞」，不能說明「是正版」。
3. 如果沒有提供任何雜湊值，就無法用這種方式檢查完整性。請從官方頁面以 HTTPS 下載；若專案有公布已簽署的校驗碼檔案，請檢查其簽章。

雜湊產生器可以一次計算 MD5、SHA-1、SHA-256、SHA-384 和 SHA-512，輸入的可以是文字，也可以是一個檔案。檔案會在你的瀏覽器中讀取，不會上傳任何內容。將發行者提供的雜湊值貼到「預期雜湊值」欄位，工具會在比對前移除空白並忽略大小寫，因此即使雜湊值以大寫或分組方式印出，仍能正確比對。非常大的檔案可能會耗盡瀏覽器記憶體，這時可以改用命令列工具，例如 Linux 上的 sha256sum，或 Mac 上的 shasum -a 256。

比對相符代表什麼

雜湊值相符，表示你的檔案幾乎可以確定與被計算雜湊值的那個檔案完全相同。但這並不能說明是誰計算了雜湊值，也不能保證被計算的檔案就是發行者原本要發布的版本。要確認這點，來源比演算法更重要。如果雜湊值來自發行者自己的發行頁面，而且你是直接前往該頁面，而不是透過訊息中的連結，那麼比對相符就是很有力的證據。如果雜湊值來自留言、鏡像站或論壇，在你於可信的頁面上找到它之前，都應視為未經驗證。

校驗碼需要可信的來源

和檔案放在同一台伺服器上的校驗碼，只能證明檔案與該伺服器上的內容一致。如果攻擊者替換了檔案，也能同時替換旁邊的校驗碼。校驗碼要有幫助，就必須來自另一個獨立的地方，例如專案已簽署的發行說明，或你不經由下載連結、而是自行找到的頁面。

密碼用的雜湊並不相同

密碼儲存也會用到雜湊，但它需要專為密碼設計的慢速雜湊，並且每個密碼都要有獨一無二的鹽值（salt）。像 SHA-256 這樣的快速雜湊在這裡並不適用。下載檔案的目的是比對，而 SHA-256 在這方面表現得很好。

特殊情況

• 大小寫。 十六進位的字母 A 到 F 不論大寫或小寫都代表相同的值，因此比對時不需要理會大小寫。
• 截短的雜湊值。 有些網站只印出雜湊值的開頭部分。只比對一小段相符，證明力很有限，請比對完整的值。
• 多個檔案。 有些專案會為整個發行版本提供一個校驗碼檔案。請找到與檔案名稱完全相符的那一行，因為比對到其他檔案的那一行，無法證明任何事情。