Tutoriels pratiques Sécurité

Comment vérifier la somme de contrôle d'un fichier

Vérifiez qu'un téléchargement est complet et intact en comparant sa somme de contrôle SHA-256 à la valeur publiée, dans le navigateur ou en ligne de commande.

Dernière vérification :

AdSense Placeholder
Slot: header_reference_page
Sur cette page

Étapes

  1. Trouver la somme de contrôle publiée

    Cherchez-la sur la page de téléchargement officielle ou dans un fichier tel que SHA256SUMS à côté du téléchargement. Notez l'algorithme : 64 caractères hexadécimaux, c'est SHA-256 ; 128, SHA-512 ; 40, SHA-1 ; 32, MD5.

  2. Ouvrir le calculateur de somme de contrôle et choisir l'algorithme

    Ouvrez le calculateur de somme de contrôle de fichier. SHA-256 est coché par défaut ; cochez MD5, SHA-1, SHA-384, SHA-512 ou CRC-32 si l'éditeur en a utilisé un.

  3. Coller la valeur attendue

    Collez la valeur publiée dans Somme de contrôle attendue. Un hachage seul, une ligne sha256sum (hash filename) ou une ligne BSD (SHA256 (file) = hash) fonctionnent tous, en majuscules ou en minuscules.

  4. Déposer le fichier téléchargé

    Déposez le fichier, ou choisissez-le, et attendez la somme de contrôle. Les fichiers sont lus dans le navigateur et jamais téléversés ; les fichiers jusqu'à 1 Go sont pris en charge.

  5. Lire le verdict

    Correspondance signifie que l'une des sommes de contrôle calculées est égale à la valeur attendue. Aucune correspondance signifie que le fichier diffère : téléchargez-le de nouveau depuis la source officielle et n'ouvrez pas et n'installez pas la copie que vous avez.

  6. Ou vérifier en ligne de commande

    Sous Linux, exécutez sha256sum -c SHA256SUMS ; sous macOS, shasum -a 256 file ; dans PowerShell sous Windows, Get-FileHash file -Algorithm SHA256, puis comparez le résultat avec la valeur publiée.

Ce dont vous avez besoin

Le fichier téléchargé, la somme de contrôle que l'éditeur indique pour lui, et un navigateur ou un terminal. Pour vérifier un court texte plutôt qu'un fichier, utilisez plutôt le générateur de hachage. Si l'éditeur propose plusieurs algorithmes, SHA-256 ou SHA-512 est celui à utiliser.

Lire le résultat

Une somme de contrôle change complètement dès qu'un seul octet change. Prenons un fichier de 14 octets, release-notes.txt, contenant Hello, world! suivi d'un saut de ligne :

Algorithme Somme de contrôle de release-notes.txt
CRC-32 7b55a718
MD5 746308829575e17c3331bbcb00c0898b
SHA-1 09fac8dbfd27bd9b4d23a00eb648aa751789536d
SHA-256 d9014c4624844aa5bac314773d6b689ad467fa4e1d1a50a1b8a99d5a95f72ff5

Remplacez le point d'exclamation par un point d'interrogation et le SHA-256 devient 84c8826b6695ba4f02c9b9a31bb13e2f3fe83c4288cee2f09277e54f5b06ba8d. Rien dans les deux valeurs ne se ressemble, et c'est tout l'intérêt : vous n'avez jamais besoin de comparer « à quel point » deux sommes de contrôle sont proches. Elles concordent exactement ou le fichier est différent.

En ligne de commande, la même vérification avec un fichier SHA256SUMS ressemble à ceci :

$ sha256sum -c SHA256SUMS
release-notes.txt: OK

et après la modification d'un caractère :

release-notes.txt: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

Dans le calculateur, coller une valeur MD5 alors que seul SHA-256 est coché donne Aucune correspondance, avec une indication que la valeur attendue ressemble à du MD5. Cochez cet algorithme et la comparaison s'exécute de nouveau.

Pièges courants

  • Comparer des algorithmes différents. Une valeur SHA-1 ne correspondra jamais à un résultat SHA-256. Comptez les caractères si la page ne précise rien.
  • Hacher du texte au lieu du fichier. Saisir Hello, world! dans un outil de hachage de texte donne 315f5bdb76d078c43b8ac0064e4a0164612b1fce77c869345bfc94c75894edd3, car le fichier contient aussi un saut de ligne. Le texte et les fichiers sont hachés octet par octet.
  • Vérifier une copie modifiée. Les transferts qui convertissent les fins de ligne, ainsi que les outils qui décompressent ou recompressent les archives, modifient les octets. Hachez le fichier exactement tel qu'il a été téléchargé.
  • Obtenir la somme de contrôle au même endroit que le fichier. Si un miroir a été compromis, sa somme de contrôle peut l'être aussi. Préférez le site HTTPS du projet lui-même, et un fichier de sommes de contrôle signé lorsqu'il existe.
  • S'inquiéter de la casse. PowerShell affiche l'hexadécimal en majuscules et sha256sum en minuscules. C'est la même valeur, et le calculateur ignore la casse.

Pour aller plus loin

Pourquoi un tout petit changement brouille toute la valeur, et pourquoi MD5 et SHA-1 ne sont plus fiables face à des attaquants, est expliqué dans Comment fonctionne le hachage.

Essayez ces outils

Calculateur de Somme de Contrôle de Fichiers

Calculez les sommes de contrôle MD5, SHA-1, SHA-256, SHA-384.

Générateur de Hachage

Générez des hachages MD5, SHA-1, SHA-256 et SHA-512 à partir de n'importe quel texte, calculés localement avec l'API Web Crypto.

Voir aussi

  • Guide Comment fonctionne le hachage
    Ce que fait une fonction de hachage, l'effet avalanche avec une vraie sortie SHA-256, quels algorithmes restent sûrs.
  • Glossaire Somme de contrôle (checksum)
    Une somme de contrôle (checksum) est une petite valeur calculée à partir de données pour détecter des erreurs accidentelles lors de leur.
  • Glossaire Hachage (hash)
    Un hachage (hash) est l'empreinte de longueur fixe qu'une fonction de hachage calcule à partir d'une entrée ; même entrée, même hachage.
  • Glossaire Signature numérique
    Une signature numérique est une valeur calculée à partir d'un message et d'une clé privée qui prouve qui l'a créé et qu'il n'a pas été.

Questions fréquemment posées

Il détecte encore la corruption accidentelle, comme un téléchargement tronqué. Il ne protège pas contre un attaquant déterminé, qui peut fabriquer deux fichiers différents ayant le même MD5. Utilisez SHA-256 dès que l'éditeur le propose.

Elle signifie que votre fichier est octet pour octet celui dont la somme de contrôle a été publiée. Si un attaquant a remplacé à la fois le fichier et la somme de contrôle sur la même page, ils concorderont quand même. Obtenez la somme de contrôle depuis un autre endroit de confiance, ou vérifiez la signature de l'éditeur.

Retour aux tutoriels pratiques
AdSense Placeholder
Slot: footer_leaderboard