Suma de verificación y comprobación

Sobre comprobar la suma de verificación de un archivo

Una página de descarga muestra una larga cadena de letras y números junto al archivo. Está ahí para que puedas demostrar que lo que llegó a tu disco es lo que el editor publicó: no truncado, no corrompido, no cambiado por otra cosa.

En Windows el comando es certutil -hashfile elarchivo SHA256. Después tienes que comparar una cadena de 64 caracteres con otra de 64 caracteres a ojo, que es justo el tipo de tarea en la que la gente se equivoca.

Suelta el archivo. Aparecen las tres sumas. Pega la que te dieron y la página te dice sí o no.

Cómo se usa

• Pulsa Haz clic para elegir o suelta tu archivo en la página
• Espera mientras se lee: una ISO grande tarda un momento y se muestra el progreso
• Pega la suma de la página de descarga en el campo
• Lee la respuesta: un Coincide verde o un No coincide rojo

No hace falta que sepas qué algoritmo es

Esto es lo que lo hace rápido. Las páginas de descarga muy a menudo imprimen una suma sin decir de qué tipo es.

No les hace falta, porque la longitud lo delata: 32 caracteres es MD5, 40 es SHA-1, 64 es SHA-256. Por eso las tres se calculan en la misma pasada, el campo acepta cualquiera y la página deduce cuál pegaste y compara con esa. Nada que seleccionar.

También puedes pegar la línea entera. SHA256: 9f86d081… ubuntu.iso funciona: la suma se extrae de ahí.

Cualquier tamaño de archivo

El archivo se lee por partes y las sumas se van construyendo sobre la marcha, así que la memoria se mantiene estable. Una imagen de disco de 5 GB funciona igual que un archivo de texto de 5 KB.

Por eso también la lectura tarda un poco en un archivo grande: hay que leer cada byte de tu disco. No se está subiendo nada — la barra de progreso es tu propia unidad.

Qué demuestra una coincidencia y qué no

Una coincidencia significa que el archivo de tu disco es, byte a byte, el archivo con el que se hizo la suma. La descarga se completó, nada se corrompió por el camino y nada se alteró.

Una coincidencia no significa que el archivo sea seguro. Quien pueda cambiar el archivo normalmente puede cambiar también la suma impresa al lado. Una suma demuestra que el archivo coincide con la página; no demuestra que la página sea honesta. Para eso hace falta una firma, no un hash.

MD5 y SHA-1 ya no son seguros: es posible construir dos archivos distintos con el mismo MD5. Siguen siendo perfectamente válidos para detectar una descarga dañada, que es para lo que se publican la mayoría de las sumas, así que se muestran. Cuando una página ofrezca SHA-256, usa esa.

Para qué se usa

• Comprobar una ISO de Linux o una imagen de Windows antes de instalar
• Confirmar que una descarga grande terminó bien con una conexión inestable
• Verificar que un instalador es el que publicó el fabricante
• Comprobar que un archivo copiado a un pendrive o NAS llegó intacto
• Confirmar que una copia de seguridad o un archivo comprimido es idéntico al original
• Demostrar que dos archivos son iguales sin abrir ninguno

Bueno saberlo

• No se sube nada. El archivo se lee en tu dispositivo y nunca sale de él
• El archivo solo se lee, nunca se modifica
• MD5, SHA-1 y SHA-256 se producen en una única pasada sobre el archivo
• SHA-384 y SHA-512 no se ofrecen: necesitan aritmética de 64 bits que es lenta en un navegador con un archivo de varios gigabytes, y las páginas de descarga casi nunca las publican. Para texto, el Generador de hash tiene las cinco
• Las mayúsculas y minúsculas dan igual al pegar: la comparación las ignora
• Funciona en todos los navegadores, y en el móvil con archivos más pequeños

Herramientas relacionadas

• Generador de hash — los mismos hashes para texto que escribas o pegues
• Buscar archivos duplicados — encontrar archivos idénticos por su contenido
• Comparar dos carpetas — verificar una carpeta entera en vez de un archivo
• Dividir y unir archivos grandes — comprobar un archivo tras volver a unir sus partes
• Comprimir y descomprimir — descomprimir lo que acabas de verificar