SHA-256 sağlama toplamını nasıl doğrularım?
İndirdiğin dosyanın özetini çıkar ve sitenin yayımladığı sağlama toplamıyla karşılaştır. Windows’ta certutil -hashfile dosyan SHA256, Mac ya da Linux’ta shasum -a 256 dosyan komutunu çalıştır; ya da dosyayı WebCrypto üzerine kurulu bir tarayıcı aracına bırak. Her karakter eşleşiyorsa dosya sağlam ulaşmış demektir.
- Yayımlanan sağlama toplamını bul. İndirme sayfaları onu dosya bağlantısının yakınında listeler; çoğunlukla bir SHA256SUMS dosyası ya da SHA-256 etiketli uzun bir onaltılık dizi olarak. Kopyala.
- İndirdiğin kopyanın özetini çıkar. Komut satırı: certutil -hashfile dosya.iso SHA256 (Windows) ya da shasum -a 256 dosya.iso (Mac/Linux). Terminal yoksa dosyayı aşağıdaki özet oluşturucuya bırak — WebCrypto saniyeler içinde yerelde hesaplar.
- İki diziyi karşılaştır. İkisini görünür bir yere yapıştır ve karşılaştır. Birebir aynıysa dosya, yayımcının çıkardığının baytı baytına aynısıdır. Herhangi bir fark — tek bir karakter bile — bozuk ya da kurcalanmış indirme demektir: sil ve tercihen güvendiğin bir yansıdan yeniden indir.
Yaklaşık iki dakika. Eşleşme; indirme bozulmasını ve yolda sessizce kurcalanmayı dışlar — ciddi projelerin sağlama toplamı yayımlamasının bütün sebebi de budur.
Eşleşen sağlama toplamı gerçekte neyi kanıtlar?
SHA-256 bir parmak izidir: dosyadaki en küçük değişiklik bile bambaşka bir özet üretir. Eşleşme, kopyanın sağlama toplamının tarif ettiğiyle birebir aynı olduğunu kanıtlar. Sınırını da bil: saldırgan indirme sayfasının kendisini kontrol ediyorsa dosyayı da toplamı da değiştirebilir — o tehdide karşı projeler sağlama dosyasına PGP imzası ekler.
Neden tarayıcıda doğrulamak mantıklı?
Çünkü sağlama iş akışı, tam da dosyanın geçtiği yola güvenmediğin için var — o dosyayı "bedava sağlama sitesine" yüklemek kendi amacını baltalar. WebCrypto tabanlı araç dosyayı yerelde okur ve özeti cihazında hesaplar; hiçbir şey aktarılmaz. certutil ve shasum’un kullandığı ilkel işlemin aynısı, terminali eksik.
Eski indirme sayfalarındaki MD5 ve SHA-1 toplamları
Onlarla hâlâ karşılaşacaksın. Kazara bozulmayı gayet iyi yakalarlar, ama ikisi de kriptografik olarak kırıktır — çakışmalar üretilebilir — dolayısıyla kasıtlı bir saldırgana karşı özgünlüğü artık kanıtlamazlar. Site seçenek sunuyorsa her zaman SHA-256’ya göre doğrula.
Bu iş için araçlar
Nasıl çalışır
Dosyaları yukarı bırak, kaliteyi seç, her sonucu tek tek ya da hepsini ZIP olarak indir. İstersen dönüştürmeden önce interneti bile kapatabilirsin.
Sık sorulan sorular
Sağlama toplamları eşleşmiyor. Şimdi ne yapmalı?
Dosyayı sil ve yeniden indir — uyuşmazlıkların çoğu kesilen ya da bozulan aktarımlardır. Aynı kaynaktan iki kez başarısız olursa resmi bir yansıdan indir ve ilk kaynağa şüpheyle yaklaş.
Gözle karşılaştırmak güvenilir mi?
En azından ilk ve son sekiz karakteri kontrol et; daha iyisi, iki diziyi bir diff aracına ya da aramaya yapıştır da karşılaştırmayı araçların yapsın. Altmış dört onaltılık karakteri yanlış okumak kolaydır.
Kocaman bir dosya tarayıcıda özetlenebilir mi?
Evet — özetleme hızlıdır ve yereldir. Birkaç gigabaytlık ISO’lar birkaç saniye sürer; sınırlayıcı etken tarayıcı değil, diskin okuma hızıdır.