Die Frage, die eine Prüfsumme beantwortet
Eine Prüfsumme beantwortet genau eine Frage: Ist die eben heruntergeladene Datei dieselbe, die der Anbieter gebaut hat? Schon ein abweichendes Byte verändert den Hashwert vollständig: Gleiche Werte bedeuten, dass unterwegs nichts verloren ging und niemand eine andere Datei untergeschoben hat. Weichen sie ab, öffnen Sie die Datei nicht, laden Sie sie erneut, und wenn auch die zweite Kopie nicht passt, holen Sie sie von woanders.
Wo die veröffentlichte Prüfsumme liegt
Die meisten Projekte legen neben den Download eine Datei SHA256SUMS, mit einer Zeile je veröffentlichter Datei. GitHub-Releases führen die Werte in den Release Notes oder als Anhang, Linux-Distributionen legen sie neben das ISO-Abbild, und Container-Registries geben eine Kennung aus, die mit sha256: beginnt.
Eine Prüfsumme von derselben Stelle beweist weniger
Wer die Datei austauschen könnte, könnte beim selben Besuch auch die daneben liegende Prüfsumme austauschen, und dann passen beide perfekt zusammen. Deshalb signieren ernsthafte Projekte ihre Summendatei: neben SHA256SUMS liegt SHA256SUMS.gpg, signiert mit einem getrennt veröffentlichten Schlüssel. Prüfen Sie zuerst die Signatur und vertrauen Sie erst dann den Summen darin. Fehlt sie, ist ein Wert aus einem anderen Kanal mehr wert als der direkt neben der Datei.
Warum MD5 und SHA-1 noch da sind
Sicherheitstechnisch sind beide gebrochen: Zwei verschiedene Dateien mit demselben MD5-Wert lassen sich praktisch konstruieren, und SHA-1-Kollisionen wurden an echten Dokumentformaten vorgeführt. Keiner der beiden Werte beweist also, dass niemand die Datei verändert hat. Was sie weiterhin leisten, ist das Aufspüren von Pannen: ein abgebrochener Download, eine defekte Platte, ein veralteter Spiegelserver. Viele ältere Projekte veröffentlichen nur einen MD5-Wert, und den zu vergleichen ist besser als gar nichts. Steht daneben ein SHA-256, nehmen Sie diesen.
Warum die Schreibweise überall anders aussieht
Der Hashwert ist letztlich nur eine Zahl, und jeder schreibt sie anders auf. Mal in Kleinbuchstaben, mal in Großbuchstaben; hier spielt das keine Rolle, weil der Wert derselbe bleibt. Registries stellen den Algorithmus voran, etwa als sha256:. Der Befehl sha256sum gibt Hashwert, zwei Leerzeichen und Dateinamen aus, während openssl dgst den Dateinamen zuerst nennt und den Hashwert hinter ein Gleichheitszeichen setzt. Fügen Sie eine dieser Formen ein, dann wird der Wert für Sie aus der Zeile geholt.