Как проверить контрольную сумму файла и зачем это нужно

Контрольная сумма нужна в двух случаях: убедиться, что файл не побился при скачивании, и проверить, что его не подменили на вредоносный. Ниже — команды для всех систем и разбор частой проблемы «суммы не совпадают».

Коротко: контрольная сумма (хэш) — это строка фиксированной длины, вычисленная из содержимого файла. В Windows её считают командой certutil -hashfile файл SHA256 или Get-FileHash, на macOS — shasum -a 256, в Linux — sha256sum. Полученную строку сравнивают с эталоном на сайте автора: совпала — файл целый, нет — качайте заново.

Что такое контрольная сумма файла

Контрольная сумма — это результат работы хэш-функции: файл любого размера пропускают через математический алгоритм, и на выходе получается короткая строка из букв и цифр фиксированной длины. Такую строку называют хэшем, дайджестом или «отпечатком» файла. Например, хэш SHA-256 всегда состоит из 64 шестнадцатеричных символов, независимо от того, посчитали вы его для текстового файла в 1 КБ или для образа диска на 5 ГБ.

Главное свойство хэш-функции — чувствительность к изменениям. Стоит поменять в файле хотя бы один бит, и контрольная сумма изменится полностью, до неузнаваемости. Обратное вычисление невозможно: по хэшу нельзя восстановить сам файл, поэтому контрольная сумма — это именно «отпечаток», а не сжатая копия. Самые распространённые алгоритмы — MD5, SHA-1 и SHA-256; последний сегодня считается стандартом.

Зачем проверять хэш скачанного файла

Проверка контрольной суммы решает две разные задачи, и обе важны.

• Целостность. При скачивании по нестабильному соединению файл может «недокачаться» или побиться — особенно крупные образы дисков и архивы. Совпадение суммы гарантирует, что на диск лёг ровно тот набор байтов, что и у автора, без потерь.
• Подлинность. Если файл лежит на стороннем зеркале или его прислали ссылкой, злоумышленник теоретически может подменить установщик на версию с вредоносом. Разработчик публикует эталонную сумму на своём официальном сайте — сверив её, вы убеждаетесь, что скачали оригинал, а не подделку.

Именно поэтому крупные проекты — дистрибутивы Linux, образы Windows, менеджеры паролей, кошельки — рядом со ссылкой на скачивание всегда выкладывают строку SHA-256. Это часть базовой гигиены при загрузке софта; смежные приёмы разбираем в разделе безопасность файлов.

Как проверить контрольную сумму в Windows

В Windows ничего устанавливать не нужно — подойдут встроенные инструменты. Есть два штатных способа: утилита CertUtil в командной строке и командлет Get-FileHash в PowerShell.

CertUtil в командной строке

1. Нажмите Win + R, введите cmd и нажмите Enter.
2. Введите команду по образцу, подставив свой путь к файлу и нужный алгоритм:

Вместо SHA256 можно указать MD5 или SHA1. Утилита выведет строку хэша — её и сравнивают с эталонной. Совет: перетащите файл мышью прямо в окно командной строки, и путь подставится сам, без ручного набора.

Get-FileHash в PowerShell

PowerShell удобнее, если хочется сразу выбрать алгоритм и получить аккуратный вывод. Откройте PowerShell (Win + X → «Терминал» или «PowerShell») и выполните:

Без параметра -Algorithm командлет считает SHA-256. Поддерживаются также MD5, SHA1, SHA384 и SHA512 — полный список приведён в документации Microsoft по Get-FileHash. Результат появится в колонке Hash.

Как проверить хэш на macOS

В macOS есть встроенные утилиты командной строки — откройте «Терминал» (Programs → Утилиты → Терминал) и используйте shasum для SHA-алгоритмов или md5 для MD5.

Параметр -a 256 задаёт алгоритм: доступны 1, 224, 256, 384 и 512. Как и в Windows, файл можно перетащить в окно терминала, чтобы не набирать путь вручную.

Как проверить сумму в Linux

В большинстве дистрибутивов Linux инструменты для хэширования уже установлены — для каждого алгоритма есть своя команда: sha256sum, md5sum, sha1sum, sha512sum.

У Linux есть удобная возможность — автоматическая проверка по файлу с эталонной суммой. Многие проекты выкладывают рядом с образом файл вроде SHA256SUMS. Скачайте его в ту же папку и выполните:

Команда сама посчитает хэши перечисленных файлов и напишет напротив каждого OK или FAILED — сравнивать строки глазами не придётся.

Как сверить сумму с эталоном

Посчитать хэш — половина дела; вторая половина — правильно сравнить его с эталонным. Порядок такой:

1. Найдите эталон у первоисточника. Берите контрольную сумму только с официального сайта разработчика (страница загрузки, релиз на GitHub, файл SHA256SUMS). Сумма со стороннего форума или зеркала доверия не заслуживает.
2. Посчитайте хэш скачанного файла командой для вашей системы из разделов выше — тем же алгоритмом, что указан у автора.
3. Сравните строки. Регистр букв значения не имеет: A1B2 и a1b2 — одно и то же. Проще всего скопировать обе строки в текстовый редактор одну под другой или воспользоваться поиском.

MD5 или SHA-256: какой алгоритм выбрать

Часто рядом с файлом лежит несколько сумм сразу — MD5, SHA-1, SHA-256. Разница между ними — в стойкости к подделке. Алгоритмы MD5 и SHA-1 давно считаются криптографически ненадёжными: для них научились подбирать разные файлы с одинаковым хэшем (коллизии). Это значит, что для защиты от умышленной подмены они не годятся — теоретически можно изготовить вредонос с тем же MD5, что и у оригинала.

Для проверки целостности (не побился ли файл при скачивании) MD5 по-прежнему вполне пригоден и считается быстрее. Но если задача — убедиться в подлинности загрузки, всегда выбирайте SHA-256. Когда автор публикует и MD5, и SHA-256 — проверяйте по SHA-256.

Что делать, если суммы не совпали

Несовпадение хэша — сигнал, что файл на диске отличается от оригинала. Не паникуйте: чаще всего причина безобидная. Пройдитесь по списку сверху вниз.

1. Проверьте алгоритм. Самая частая ошибка — вы посчитали SHA-256, а сверяете с MD5 автора (или наоборот). Суммы разной длины никогда не совпадут. Убедитесь, что считаете тем же алгоритмом, что указан у первоисточника.
2. Скачайте файл заново. При обрыве связи загрузка часто прерывается незаметно. Полное перекачивание с официального источника устраняет большинство несовпадений — файл просто был докачан не до конца или побился.
3. Смените источник или зеркало. Если после повторной загрузки сумма снова другая, качайте с официального сайта, а не со стороннего зеркала — там могла лежать устаревшая или изменённая версия.
4. Насторожитесь при упорном несовпадении. Если файл с официального источника стабильно даёт другой хэш, это повод не запускать его: возможна подмена. Проверьте, не устарела ли сама эталонная сумма (для новой версии её обновляют), и при сомнениях откажитесь от установки.

Отдельный случай — файл скачался целым, но не открывается: тогда дело не в подмене, а в повреждении данных, и помогут приёмы из гайда как восстановить повреждённый архив. А если сомневаетесь, что у файла вообще то расширение, что заявлено, — определите его реальный тип через инструмент определения формата.

Частые вопросы