Como conferir se um download não foi adulterado (SHA-256)
Você baixa um instalador, uma imagem de sistema operacional ou uma atualização de firmware. Como saber que é exatamente o que o desenvolvedor publicou — não um arquivo corrompido, nem uma cópia alterada por alguém?
O risco real
- Sites e anúncios que imitam o oficial: ao pesquisar programas gratuitos populares, os primeiros resultados patrocinados às vezes levam a instaladores “reempacotados” com adware ou vírus.
- Servidores invadidos: em 2016, o site de uma distribuição Linux conhecida foi invadido e o link de download passou a apontar, por parte de um dia, para uma ISO com backdoor. Quem comparou o hash com o oficial conseguiu perceber.
- Downloads corrompidos: uma transferência interrompida pode estragar uma atualização de firmware e deixar o aparelho inutilizável.
O que é hash
O hash (ou checksum) é uma impressão digital calculada a partir de cada byte do arquivo. Muda um byte, muda a impressão inteira. Os desenvolvedores publicam o valor SHA-256 ao lado dos downloads, muitas vezes num arquivo chamado SHA256SUMS.
Confira em três passos
- Pegue o hash no site oficial do desenvolvedor — não na página que ofereceu o download.
- Solte o arquivo no conferidor de downloads e cole o valor oficial.
- Verde é idêntico. Vermelho: apague o arquivo e baixe de novo pela fonte oficial.
O arquivo é lido em pedaços dentro do navegador, então até imagens de vários gigabytes não saem do seu computador.
Qual algoritmo?
Use SHA-256 ou SHA-512. MD5 e SHA-1 ainda detectam corrupção acidental, mas pesquisadores conseguem criar dois arquivos diferentes com o mesmo MD5 ou SHA-1, então eles não provam que o arquivo não foi alterado de propósito.
O que o hash não faz
Se o invasor controla o site oficial, ele pode trocar o hash também. Por isso alguns projetos ainda assinam seus arquivos digitalmente. Para downloads do dia a dia, conferir o hash da página oficial já pega a maioria dos problemas.