Как проверить контрольную сумму SHA-256?

1. Найдите опубликованную сумму. Страницы загрузки указывают её рядом со ссылкой на файл — часто в виде файла SHA256SUMS или длинной шестнадцатеричной строки с пометкой SHA-256. Скопируйте её.
2. Вычислите хеш своей копии. Командная строка: certutil -hashfile file.iso SHA256 (Windows) или shasum -a 256 file.iso (Mac/Linux). Нет терминала под рукой? Перетащите файл в генератор хешей ниже — WebCrypto вычислит его локально за секунды.
3. Сравните две строки. Вставьте обе куда-нибудь на виду и сравните. Полное совпадение означает, что файл байт в байт совпадает с тем, что выпустил издатель. Любое расхождение — даже в одном символе — значит повреждённую или подменённую загрузку: удалите файл и скачайте заново, лучше с зеркала, которому доверяете.

Около двух минут. Совпадение исключает повреждение при скачивании и незаметную подмену в пути — ради этого серьёзные проекты и публикуют контрольные суммы.

Что на самом деле доказывает совпавшая сумма

SHA-256 — это отпечаток: любое изменение файла, каким бы малым оно ни было, даёт совершенно другой хеш. Совпадение доказывает, что ваша копия идентична той, что описана суммой. Но есть предел: если злоумышленник контролирует саму страницу загрузки, он может подменить и файл, и сумму — от этой угрозы проекты добавляют PGP-подписи на файл с суммами.

Зачем вообще проверять в браузере?

Процедура проверки существует именно потому, что вы не доверяете пути, который прошёл файл, — поэтому загружать этот файл на «бесплатный сайт проверки» противоречило бы самой идее. Инструмент на WebCrypto читает файл локально и вычисляет дайджест на вашем устройстве; ничего не передаётся. Это тот же примитив, что используют certutil и shasum, только без терминала.

MD5 и SHA-1 на старых страницах загрузки

Они ещё встречаются. Случайное повреждение они ловят нормально, но оба алгоритма криптографически сломаны — коллизии можно изготовить, — поэтому подлинность против намеренного злоумышленника они больше не доказывают. Если сайт предлагает выбор, всегда сверяйтесь с SHA-256.

Как это работает

Перетащите файлы выше, выберите качество и скачайте каждый результат по отдельности или всё сразу одним ZIP-архивом. Перед конвертацией можно даже отключиться от интернета.