LocalUtils field note · Calcola i checksum dei file e confrontali esattamente
Calcola i checksum dei file e confrontali esattamente
Un checksum è un'impronta digitale ripetibile di byte di file. La corrispondenza di un valore pubblicato da una fonte attendibile può mostrare che i byte scaricati corrispondono al riferimento di quella fonte.
Una somma di controllo non dimostra che un file sia innocuo, che l'editore sia affidabile o che un valore di riferimento non sia stato sostituito da un utente malintenzionato. Il confronto è affidabile tanto quanto il canale che ha fornito il riassunto previsto.
Avvio rapido
- Ottieni il checksum previsto dall'editore del software o da un altro canale autenticato.
- Scegli lo stesso algoritmo indicato dall'editore; i valori di algoritmi diversi non possono essere confrontati.
- Seleziona il file e lascia che l'operatore finisca senza modificarlo o scaricarlo nuovamente.
- Confronta le stringhe esadecimali complete, preferibilmente tramite copia/incolla in un confronto di testo esatto o a tempo costante anziché controllare solo i primi caratteri.
device → browser engine → result
Cosa fa il browser
Un Web Worker legge il file e calcola gli algoritmi selezionati, incluse le varianti CRC32, MD5, SHA-1, SHA-256, SHA-384, SHA-512 e SHA-3 implementate dalle librerie in bundle.
I byte del file rimangono nel percorso di elaborazione del browser. Gli algoritmi più vecchi rimangono utili per i controlli di compatibilità e corruzione accidentale, ma MD5 e SHA-1 non sono scelte adatte per i nuovi progetti di sicurezza resistenti alle collisioni.
Ingressi e uscite
- Input: qualsiasi file locale leggibile dall'API File del browser.
- Output: stringhe digest esadecimali per gli algoritmi selezionati.
- Un digest identifica i byte esatti; la modifica di un byte, di un campo di metadati o di un timestamp di archivio normalmente modifica il risultato.
Limiti da sapere prima di iniziare
- Un digest corrispondente non può rilevare malware quando il riferimento attendibile descrive lo stesso file dannoso.
- CRC32 è un checksum per il rilevamento degli errori, non una prova di integrità crittografica.
- MD5 e SHA-1 hanno noti punti deboli nelle collisioni.
- I file di grandi dimensioni richiedono tempo per essere letti e consumano comunque risorse di I/O e di elaborazione del dispositivo.
Risoluzione dei problemi
- Se i valori differiscono, conferma l'algoritmo, la versione del file, l'architettura, lo stato di decompressione e se l'editore ha sottoposto ad hashing un archivio o i suoi contenuti.
- Copia il checksum senza spazi, etichette o interruzioni di riga nascoste.
- Ricalcola dopo un nuovo download solo quando il valore atteso proviene da una fonte indipendente attendibile.
Lista di controllo per la verifica
- Conferma che il checksum di riferimento è stato ottenuto tramite HTTPS o un canale di rilascio firmato.
- Confronta l'intero digest con le maiuscole corrispondenti ignorate solo quando la rappresentazione è esadecimale.
- Per il software ad alta garanzia, verificare una firma digitale oltre al checksum.
Domande che le persone fanno
Quale algoritmo dovrei scegliere?
Utilizza l'algoritmo esatto fornito dall'editore. Per i nuovi riferimenti all'integrità crittografica, SHA-256 o un digest moderno più potente è generalmente preferibile a MD5 o SHA-1.
Un hash corrispondente significa che un file è sicuro?
No. Significa solo che i byte corrispondono ai byte di riferimento; di per sé non dice nulla sull'intento o sul malware.
Perché la ridenominazione non ha modificato l'hash?
Lo strumento esegue l'hashing del contenuto del file, non del nome file locale. La modifica dei metadati incorporati o la ricostruzione del file può modificarne i byte.