Cómo comprobar que una descarga no ha sido manipulada (SHA-256)
Descargas un instalador, una imagen de sistema operativo o una actualización de firmware. ¿Cómo sabes que es exactamente lo que publicó el desarrollador, y no un archivo dañado o una copia modificada?
El riesgo real
- Webs y anuncios que imitan al oficial: al buscar programas gratuitos populares, los primeros resultados patrocinados a veces llevan a instaladores «reempaquetados» con adware o malware.
- Servidores hackeados: en 2016 hackearon la web de una conocida distribución Linux y su enlace de descarga apuntó, durante parte de un día, a una ISO con puerta trasera. Quien comparó el hash con el oficial pudo detectarlo.
- Descargas dañadas: una transferencia interrumpida puede estropear una actualización de firmware y dejar el aparato inservible.
Qué es un hash
Un hash es una huella digital calculada a partir de cada byte del archivo. Cambia un byte y cambia toda la huella. Los desarrolladores publican el valor SHA-256 junto a las descargas, a menudo en un archivo llamado SHA256SUMS.
Compruébalo en tres pasos
- Busca el hash en la web oficial del desarrollador, no en la página que te ofreció la descarga.
- Suelta el archivo en el verificador de descargas y pega el valor oficial.
- Verde: idéntico. Rojo: borra el archivo y descárgalo de nuevo desde la fuente oficial.
El archivo se lee por partes dentro del navegador, así que incluso imágenes de varios gigabytes no salen de tu ordenador.
¿Qué algoritmo?
Usa SHA-256 o SHA-512. MD5 y SHA-1 detectan daños accidentales, pero se pueden crear dos archivos distintos con el mismo MD5 o SHA-1, así que no prueban que nadie lo manipuló a propósito.
Lo que un hash no puede hacer
Si el atacante controla la web oficial, también puede cambiar el hash. Por eso algunos proyectos firman sus archivos digitalmente. Para las descargas del día a día, comprobar el hash de la página oficial detecta la mayoría de los problemas.