Làm sao để kiểm tra một checksum SHA-256?
Băm file bạn vừa tải và so kết quả với checksum mà trang web công bố. Trên Windows chạy certutil -hashfile tenfile SHA256; trên Mac hoặc Linux chạy shasum -a 256 tenfile; hoặc thả file vào công cụ băm trong trình duyệt dựng trên WebCrypto. Nếu mọi ký tự trùng khớp, file đã về nguyên vẹn.
- Tìm checksum được công bố. Các trang tải xuống ghi nó cạnh link file, thường là một file SHA256SUMS hoặc một chuỗi hex dài gắn nhãn SHA-256. Sao chép nó.
- Băm bản bạn đã tải. Dòng lệnh: certutil -hashfile file.iso SHA256 (Windows) hoặc shasum -a 256 file.iso (Mac/Linux). Không sẵn terminal? Thả file vào công cụ tạo mã băm bên dưới — WebCrypto tính cục bộ trong vài giây.
- So hai chuỗi với nhau. Dán cả hai ra chỗ dễ nhìn và so sánh. Trùng khớp nghĩa là file giống từng byte với bản nhà phát hành công bố. Bất kỳ khác biệt nào — dù chỉ một ký tự — nghĩa là bản tải bị hỏng hoặc bị can thiệp: xóa đi và tải lại, tốt nhất từ một mirror bạn tin cậy.
Chừng hai phút. Khớp mã loại trừ được lỗi hỏng khi tải lẫn sự can thiệp lén lút trên đường truyền — chính là toàn bộ lý do các dự án nghiêm túc công bố checksum.
Checksum trùng khớp thực sự chứng minh điều gì
SHA-256 là một dấu vân tay: bất kỳ thay đổi nào trên file, dù nhỏ đến đâu, cũng sinh ra mã băm hoàn toàn khác. Trùng khớp chứng minh bản của bạn giống hệt thứ mà checksum mô tả. Lưu ý giới hạn: nếu kẻ tấn công kiểm soát chính trang tải xuống, hắn có thể tráo cả file lẫn checksum — với mối đe dọa đó, các dự án bổ sung chữ ký PGP trên file checksum.
Sao lại kiểm tra ngay trong trình duyệt?
Vì quy trình checksum tồn tại chính bởi bạn không tin con đường file đã đi qua — nên tải file đó lên một "trang checksum miễn phí" là tự phản lại mục đích. Công cụ dựa trên WebCrypto đọc file cục bộ và tính mã băm trên thiết bị của bạn; không gì được truyền đi. Đó là cùng một cơ chế mà certutil và shasum sử dụng, chỉ bớt đi cái terminal.
Checksum MD5 và SHA-1 trên các trang tải cũ
Bạn vẫn sẽ gặp chúng. Chúng phát hiện hỏng hóc ngẫu nhiên ổn thỏa, nhưng cả hai đã bị bẻ gãy về mặt mật mã — người ta có thể chế tạo va chạm — nên chúng không còn chứng minh được tính xác thực trước một kẻ tấn công chủ đích. Nếu trang cho lựa chọn, luôn kiểm tra theo SHA-256.
Công cụ cho việc này
Cách hoạt động
Thả file vào ô phía trên, chọn chất lượng rồi tải từng kết quả về hoặc gom tất cả vào một file ZIP. Bạn thậm chí có thể ngắt mạng trước khi chuyển đổi.
Câu hỏi thường gặp
Hai checksum không khớp. Giờ sao?
Xóa file và tải lại — phần lớn trường hợp lệch là do đường truyền bị ngắt hoặc hỏng. Nếu trượt hai lần từ cùng một nguồn, hãy tải từ mirror chính thức và nhìn nguồn đầu tiên bằng con mắt nghi ngờ.
So bằng mắt có đáng tin không?
Tối thiểu hãy soi tám ký tự đầu và tám ký tự cuối; tốt hơn, dán cả hai chuỗi vào công cụ diff hay ô tìm kiếm để máy so giúp bạn. Sáu mươi tư ký tự hex rất dễ nhìn nhầm.
File khổng lồ có băm được trong trình duyệt không?
Được — băm rất nhanh và chạy cục bộ. File ISO nhiều gigabyte mất vài giây; nút thắt là tốc độ đọc ổ đĩa, không phải trình duyệt.