ダウンロードしたファイルが改ざんされていないか確かめる方法（SHA-256）

インストーラー、OSのイメージ、ファームウェアの更新ファイル。ダウンロードしたものが、開発元が公開したものと本当に同じかどうか、どうすればわかるでしょうか。

実際に起きているリスク

• 公式そっくりのサイトや広告：人気の無料ソフトを検索すると、広告枠から再パッケージされたインストーラー（アドウェアやマルウェア入り）に誘導されることがあります。
• 乗っ取られたサーバー：2016年、有名なLinuxディストリビューションの公式サイトが改ざんされ、一時的にバックドア入りのISOへのリンクに差し替えられました。公式のハッシュ値と照合した人は気づくことができました。
• 壊れたダウンロード：途中で途切れたファイルでファームウェアを更新すると、機器が動かなくなることがあります。

ハッシュ値とは

ハッシュ値はファイルのすべてのバイトから計算される指紋のようなものです。1バイト変わるだけで値はまったく別物になります。開発元は SHA256SUMS などのファイルでSHA-256の値を公開しています。

3ステップで確認

1. 開発元の公式サイトでハッシュ値を確認します（ダウンロードを勧めてきたページではなく）。
2. ダウンロードファイルの確認にファイルを置き、公式の値を貼り付けます。
3. 緑なら一致。赤ならファイルを削除し、公式からダウンロードし直します。

ファイルはブラウザ内で少しずつ読み込むため、数GBのイメージでもパソコンの外には出ません。

どのアルゴリズムを使う？

SHA-256かSHA-512を使いましょう。MD5とSHA-1は偶然の破損は見つけられますが、同じ値を持つ別のファイルを作れることが知られているため、意図的な改ざんがないことの証明にはなりません。

ハッシュ値の限界

攻撃者が公式サイトそのものを乗っ取れば、ハッシュ値も書き換えられます。そのため電子署名を併用するプロジェクトもあります。それでも日常のダウンロードでは、公式ページの値と照合するだけで多くの問題を防げます。