Suma de verificación de un archivo

Cómo se usa

Suelta el archivo en el primer recuadro (o haz clic para elegirlo) y las huellas aparecen solas, con la barra avanzando mientras se lee el archivo. Si la web desde la que lo has descargado publica una suma de verificación, pégala en el campo y no hace falta nada más: por su longitud la herramienta deduce si es un MD5, un SHA-1, un SHA-256 o un SHA-512, marca sola el algoritmo correcto y responde sí o no, así nunca tienes que comparar 64 dígitos a ojo. También puedes pegar la línea entera que produce sha256sum o certutil -hashfile, con el nombre del archivo incluido, y da igual si está en mayúsculas o en minúsculas. El segundo recuadro responde a otra pregunta, es decir si dos archivos que ya tienes en el disco son de verdad el mismo archivo.

Qué es una suma de verificación y de qué te protege en realidad

Una función hash tritura todos los bytes del archivo y devuelve siempre el mismo número de dígitos, 32 con MD5 y 64 con SHA-256, tanto si el archivo pesa 3 KB como 8 GB. Cambia un solo bit y la huella cambia por completo, porque aproximadamente la mitad de los dígitos se dan la vuelta (el efecto avalancha). Por eso comparar sumas de verificación pilla una descarga cortada, un byte estropeado en un pendrive cansado o una copia de seguridad mal hecha, daños que no se ven y que se pagan más tarde con un error incomprensible a mitad de una instalación. Hay un límite que conviene recordar, porque una suma de verificación te protege de los accidentes y no de un atacante: si alguien puede sustituir el archivo en un mirror, casi siempre puede cambiar también la página que publica su valor. Para la autenticidad hace falta una firma digital (GPG, por ejemplo) o un valor obtenido de otra fuente fiable.

MD5 y SHA-1 están rotos, y aun así hay un motivo para conservarlos

Las colisiones de MD5 son públicas desde 2004, encontradas por Wang Xiaoyun y sus colegas, y las de SHA-1 desde 2017, cuando Google y el CWI de Ámsterdam publicaron SHAttered, dos PDF distintos con el mismo SHA-1. Una colisión significa que se pueden construir a propósito dos archivos distintos con la misma huella, así que ninguno de los dos algoritmos demuestra ya que un archivo sea el original. Siguen valiendo perfectamente para la pregunta práctica de quien descarga algo, que es si el archivo ha llegado entero y sin daños, y siguen haciendo falta porque ese es el valor que muchos proyectos publican junto a sus archivos. Si al lado hay un SHA-256, usa ese.

Cómo se calculan aquí, y qué no puede hacer

MD5, SHA-1 y SHA-256 están escritos a mano en JavaScript dentro de esta página, en forma incremental: el archivo se lee en bloques de 4 MiB y cada bloque alimenta el estado interno del algoritmo, así que nunca hay en memoria una copia completa del archivo y el tamaño no es un problema. MD5 hay que hacerlo a mano porque WebCrypto, el motor criptográfico del navegador, no lo ofrece. SHA-512 es la excepción: trabaja con palabras de 64 bits, que JavaScript no tiene, así que se le encarga a WebCrypto, que a su vez exige el archivo entero en memoria de una vez. Con archivos de varios gigabytes esa petición puede fallar, y cuando pasa la herramienta lo dice y sugiere desmarcar SHA-512. El tiempo depende solo de tu procesador y crece en proporción a los bytes, por eso el resultado te dice cuántos MiB por segundo se han triturado, y el botón Detener corta enseguida un cálculo largo.

Errores habituales, y qué hacer cuando no coincide

El primer error es comparar las huellas a ojo, porque el ojo mira el principio y el final y se salta el medio, que es justo donde se esconde la diferencia. El segundo es creer que las mayúsculas y las minúsculas importan, cuando A y a son el mismo dígito hexadecimal. El tercero tiene que ver con el formato, porque algunos proyectos publican el valor en base64 en lugar de en hexadecimal (44 caracteres para un SHA-256, que a menudo acaban en un signo igual) y aquí se reconoce y se convierte. Recuerda además que la suma de verificación de un archivo zip no es la de los archivos que hay dentro, y que dos archivos de tamaño distinto ya son distintos sin calcular nada. Si el valor no coincide, casi seguro que la descarga se interrumpió, así que vuelve a descargarlo e inténtalo otra vez. Si falla una segunda vez con la misma huella, puede que el archivo del servidor sea de verdad distinto del anunciado: no lo instales y busca un mirror oficial.