Trình kiểm tra checksum

Nên dùng thuật toán nào

Hãy dùng SHA-256 trừ khi nhà phát hành công bố thuật toán khác. MD5 và SHA-1 vẫn xuất hiện ở các bản tải cũ nhưng có thể giả mạo dễ dàng bằng phần cứng hiện đại; chỉ dùng chúng cho kiểm tra hỏng hóc thông thường, không dùng để xác minh tính toàn vẹn trước kẻ tấn công. CRC32 hoàn toàn không phải băm mật mã: nó phát hiện hư hỏng ngẫu nhiên nhưng không bảo vệ khỏi sự can thiệp có chủ đích.

Nơi nhà phát hành công bố giá trị băm

• Bản phân phối Linux: SHA-256 và SHA-512 bên cạnh mỗi bản ISO, thường kèm tệp SHASUMS ký bằng PGP.
• Bản phát hành mã nguồn mở (GitHub): giá trị băm trên trang phát hành, thường qua shasum -a 256 trong README.
• Phần mềm doanh nghiệp: MD5 hoặc SHA-256 trong xác nhận tải xuống; một số nhà cung cấp công bố bản kê khai ký GPG.
• Trình quản lý gói: tự động xác minh (apt, yum, Homebrew). Chỉ cần xác minh thủ công khi tải trực tiếp.

Mẹo xác minh

• Lấy giá trị băm từ một nguồn khác với nguồn tải tệp. Nếu cả hai cùng từ một máy chủ nhân bản bị xâm nhập, cả hai đều có thể bị giả mạo.
• Kiểm tra chữ ký GPG khi có sẵn. Tệp SHASUMS đã ký chứng minh nhà phát hành (bằng khóa riêng của họ) bảo đảm cho các giá trị băm.
• Kiểm tra lại giá trị sau khi truyền tải: nếu bạn chuyển tệp hoặc bí mật giữa các máy, hãy tính lại băm ở cả hai đầu để xác nhận chúng khớp.
• Cẩn thận với ký tự xuống dòng: thừa hoặc thiếu một ký tự xuống dòng ở cuối sẽ làm thay đổi hoàn toàn giá trị băm. Nếu văn bản dán khác bản gốc dù chỉ một ký tự, checksum sẽ không khớp.

Quyền riêng tư

Văn bản bạn dán được gửi đến máy chủ của chúng tôi để tính checksum và ở chế độ từng bước, văn bản được giữ trong bộ nhớ trình duyệt của bạn giữa các bước để bạn không phải dán lại. Văn bản không được lưu trong cơ sở dữ liệu và không được chia sẻ với bất kỳ ai.