Checksum de arquivo e conferência

Sobre conferir o checksum de um arquivo

Uma página de download mostra uma longa sequência de letras e números ao lado do arquivo. Ela está ali para você poder provar que o que chegou no seu disco é o que o publicador colocou no ar: não truncado, não corrompido, não trocado por outra coisa.

No Windows o comando é certutil -hashfile oarquivo SHA256. Depois você tem que comparar uma sequência de 64 caracteres com outra de 64 caracteres no olho, que é exatamente o tipo de tarefa em que as pessoas erram.

Solte o arquivo. Os três checksums aparecem. Cole o que te deram e a página diz sim ou não.

Como usar

• Clique em Clique para escolher ou solte seu arquivo na página
• Espere a leitura — uma ISO grande leva um instante, e o progresso aparece
• Cole o checksum da página de download no campo
• Leia a resposta: um Bate verde ou um Não bate vermelho

Você não precisa saber qual algoritmo é

É isso que deixa rápido. Páginas de download muitas vezes imprimem um checksum sem dizer de que tipo ele é.

Nem precisam, porque o tamanho entrega: 32 caracteres é MD5, 40 é SHA-1, 64 é SHA-256. Por isso os três são calculados na mesma passada, o campo aceita qualquer um deles, e a página descobre sozinha qual você colou e compara com aquele. Nada para selecionar.

Você também pode colar a linha inteira. SHA256: 9f86d081… ubuntu.iso funciona — o checksum é localizado ali dentro.

Qualquer tamanho de arquivo

O arquivo é lido em pedaços e os checksums vão sendo construídos no caminho, então a memória fica estável. Uma imagem de disco de 5 GB funciona igual a um arquivo de texto de 5 KB.

É também por isso que a leitura demora um pouco num arquivo grande: cada byte precisa ser lido do seu disco. Nada está sendo enviado — a barra de progresso é o seu próprio disco.

O que uma coincidência prova, e o que não prova

Bater significa que o arquivo no seu disco é, byte a byte, o arquivo com que o checksum foi feito. O download terminou, nada se corrompeu no caminho e nada foi alterado.

Bater não significa que o arquivo seja seguro. Quem consegue alterar o arquivo normalmente consegue alterar também o checksum impresso ao lado. Um checksum prova que o arquivo confere com a página; não prova que a página é honesta. Para isso é preciso uma assinatura, não um hash.

MD5 e SHA-1 não são mais seguros — é possível construir dois arquivos diferentes com o mesmo MD5. Continuam perfeitamente bons para pegar um download danificado, que é para o que a maioria dos checksums é publicada, então aparecem. Quando uma página oferecer SHA-256, use esse.

Para que as pessoas usam

• Conferir uma ISO do Linux ou imagem do Windows antes de instalar
• Confirmar que um download grande terminou direito numa conexão instável
• Verificar que um instalador é o que o fabricante publicou
• Checar se um arquivo copiado para um pen drive ou NAS chegou intacto
• Confirmar que um backup ou arquivo compactado é idêntico ao original
• Provar que dois arquivos são iguais sem abrir nenhum dos dois

Bom saber

• Nada é enviado. O arquivo é lido no seu aparelho e nunca sai dele
• O arquivo é apenas lido, nunca modificado
• MD5, SHA-1 e SHA-256 saem de uma única passada sobre o arquivo
• SHA-384 e SHA-512 não são oferecidos: exigem aritmética de 64 bits, lenta num navegador com arquivo de vários gigabytes, e páginas de download quase nunca os publicam. Para texto, o Gerador de hash tem os cinco
• Maiúsculas e minúsculas não importam ao colar — a comparação ignora
• Funciona em todos os navegadores, e no celular com arquivos menores

Ferramentas relacionadas

• Gerador de hash — os mesmos hashes para texto digitado ou colado
• Localizar arquivos duplicados — achar arquivos idênticos pelo conteúdo
• Comparar duas pastas — conferir uma pasta inteira em vez de um arquivo
• Dividir e juntar arquivos grandes — conferir um arquivo depois de remontá-lo
• Compactar e descompactar — descompactar o que você acabou de conferir