1. Nama fail yang sama berbeza daripada kandungan fail yang sama
Apabila nama dan saiz fail pemasang yang dimuat turun sama seperti pada halaman panduan, kita mudah menganggap bahawa fail telah diterima dengan betul. Namun, nama boleh diubah, dan fail yang sama saiznya boleh mempunyai kandungan berbeza. Sebaliknya, menyalin fail foto dengan nama lain tidak semestinya mengubah bait di dalamnya. Di sinilah hash membantu perbandingan: kandungan fail diproses melalui pengiraan yang ditetapkan dan diwakili sebagai nilai ringkas. Soalan yang hendak dijawab bukan sama ada nama fail kelihatan meyakinkan, tetapi sama ada bait yang diterima sepadan dengan rujukan yang boleh dipercayai. Soalan yang sama juga boleh diajukan apabila fail sandaran dipindahkan ke peranti storan lain.
SHA-256 ialah algoritma yang menghasilkan nilai hash 256 bit daripada input. Nilai ini lazimnya dipaparkan sebagai 64 digit perenambelasan kerana satu digit perenambelasan mewakili 4 bit. Walaupun fail semakin besar, panjang hasil tidak bertambah mengikut nisbah saiz fail. Bait yang sama memberikan hasil yang sama apabila algoritma yang sama digunakan. Namun, kerana semua input dipetakan kepada nilai yang panjangnya terhad, perlanggaran, iaitu input berbeza menghasilkan nilai yang sama, pada prinsipnya tetap wujud. Kegunaan dalam perbandingan praktikal perlu dibezakan daripada dakwaan bahawa setiap fail diberikan nama yang unik secara matematik. RFC 6234 menyediakan pengiraan hash dan bahan ujian, termasuk untuk SHA-256.
2. Hash bukan penyulitan atau salinan fail yang dikecilkan
Mengetahui nilai hash tidak memberikan butang penyahsulitan untuk memulihkan dokumen atau foto asal. Penyulitan direka supaya teks asal boleh diperoleh semula dengan kunci yang sesuai, manakala hash kriptografi bukan format penyimpanan untuk memulihkan input asal. Namun, ini juga tidak bermaksud bahawa semua input kekal rahsia hanya kerana hash sahaja diterbitkan. Jika hanya ada beberapa kemungkinan input, hash setiap calon boleh dikira dan dibandingkan. Oleh itu, penerangan SHA-256 untuk pemeriksaan fail tidak boleh diperluas menjadi nasihat bahawa menyimpan kata laluan selepas mengenakan hash secara terus sudah memadai. Pemeriksaan integriti, penjagaan kerahsiaan dan penyimpanan kata laluan ialah kerja yang mempunyai keperluan berbeza.
Apabila keseluruhan fail dikira, perbandingan itu bukan sekadar huruf yang kelihatan pada skrin. Ayat yang kelihatan sama pun mungkin mempunyai bait berbeza jika bentuk akhir baris, pengekodan aksara atau metadata dalaman dokumennya berbeza. Fail yang diperoleh selepas pengekstrakan ialah objek perbandingan yang berbeza daripada arkib asalnya. Jika aksara dinormalkan atau akhir baris diubah sebelum pengiraan, hasilnya ialah hash data yang telah diubah itu. Jika pengedar memberikan nilai bagi arkib asal, bandingkan dahulu dengan fail arkib yang diterima itu sendiri. Perbezaan ini menerapkan perbezaan paparan dan bait yang dibincangkan dalam artikel Unicode dan UTF-8 terdahulu kepada pengesahan fail sebenar.
3. Bandingkan fail yang dimuat turun dengan algoritma dan nilai rujukan yang sama
Sebelum pengesahan, semak versi sasaran, sistem pengendalian, nama fail dan algoritma hash bersama-sama dalam panduan pengedaran rasmi pembuatnya. Fail pemasang untuk sistem pengendalian lain atau nilai bagi versi yang berlainan tidak boleh menjadi rujukan perbandingan. Dalam PowerShell, fail setempat boleh dibaca dan dikira menggunakan Get-FileHash -LiteralPath '.\download.zip' -Algorithm SHA256. Perintah ini tidak melaksanakan kandungan fail pada laluan tersebut. Dokumentasi rasmi Microsoft menerangkan bahawa nilai dikira daripada kandungan fail dan tidak berubah hanya kerana namanya ditukar. Ubah nama serta laluan mengikut fail yang benar-benar diterima, dan jangan ubah fail semasa pengiraan.
Pada output, bandingkan kesemua 64 digit dalam medan Hash dengan nilai SHA-256 yang diterbitkan oleh pengedar. Jangan simpulkan bahawa keseluruhan nilai sepadan hanya kerana beberapa digit di awal atau akhir sama. Huruf besar dan kecil dalam perenambelasan mewakili nombor yang sama, tetapi jika ada aksara lain atau bilangan digit tidak mencukupi, semak dahulu nilai yang disalin. Hasil yang sepadan menyokong keselarasan antara bait yang diterima dengan nilai rujukan yang dipercayai. Hasil itu bukan pemeriksaan fakta dalam dokumen, mutu program atau tingkah laku berniat jahat. Jika fail rujukan itu sendiri bermasalah, salinan yang sama sepenuhnya juga mempunyai hash yang sama. Kejayaan pengiraan dan kesesuaian menggunakan fail perlu dinilai secara berasingan.
4. Ketidakpadanan ialah isyarat untuk menyiasat, bukan bukti muktamad serangan
Sebagai contoh, andaikan fail pengedaran yang diterima semalam dibandingkan dengan nilai dalam panduan hari ini, lalu didapati berbeza. Ini ialah contoh penerangan, bukannya catatan insiden sebenar. Mula-mula, semak sama ada panduan merujuk kepada versi yang sama, sama ada fail untuk peranti lain telah diterima dan sama ada pengiraan dibuat sebelum muat turun selesai. Mungkin juga fail yang telah diekstrak dikira, bukannya arkibnya, atau penyunting telah menyimpan semula dokumen. Oleh itu, kes objek perbandingan yang berubah perlu dipisahkan daripada kes kandungan berubah semasa penghantaran atau penyimpanan. Fakta bahawa nilai berbeza sahaja tidak menunjukkan siapa mengubah apa dan bila.
Jangan terus menjalankan fail pemasang yang tidak sepadan untuk memeriksanya. Semak semula panduan pengedaran rasmi dan nilai rujukan, kemudian bandingkan fail yang dimuat turun sekali lagi. Jika masih berbeza, elok semak notis pembetulan atau saluran sokongan pengedar dan simpan hasilnya. Catatan perlu menyertakan masa pemeriksaan, alamat sumber, versi fail, algoritma dan nilai yang dikira. Hasil yang sama dalam pengiraan berulang menjadi petunjuk bahawa fail setempat semasa telah dibaca dengan cara yang sama, tetapi tidak menyelesaikan kemungkinan kesilapan nilai yang diterbitkan pengedar atau masalah laluan pengedaran. Menulis ganti rekod rujukan dengan nilai yang diharapkan akan menghilangkan asas untuk menentukan sama ada perubahan berlaku kemudian.
5. Asas mempercayai nilai rujukan dan peranan tandatangan digital
Jika penyerang boleh mengubah fail serta nilai hash yang dipaparkan bersamanya, penyerang boleh mengira hash fail yang diubah dan menyenaraikannya sebagai rujukan baharu. NIST SP 800-175B menerangkan had ini apabila hash digunakan sendirian tanpa kunci atau tandatangan. Mendapatkan nilai daripada halaman HTTPS pada alamat rasmi membantu menyemak sumber dan laluan penghantaran, tetapi tidak menjamin bahawa kemungkinan pelayan pengedaran itu sendiri diceroboh telah dihapuskan. Yang penting bukan sama ada rentetan hash kelihatan panjang, tetapi dari mana dan melalui prosedur kepercayaan apa rujukan itu diperoleh. Dua nilai yang disalin daripada skrin yang sama dan saling sepadan tidak dengan sendirinya mengesahkan identiti pembuat.
Tandatangan digital membolehkan hubungan antara tandatangan dan data disahkan, antaranya menggunakan kunci awam yang diperoleh dengan cara yang dipercayai. Jika pengedar menyediakan prosedur pengesahan tandatangan, ikut panduan rasmi termasuk cara mengesahkan pemilik kunci dan cap jarinya. Mempercayai terus kunci awam yang baru pertama kali dilihat di sebelah fail yang tidak jelas asalnya tidak menyelesaikan titik permulaan kepercayaan. HMAC yang menggunakan kunci rahsia bersama juga ialah alat pengesahan yang berbeza daripada hash biasa, tetapi bukan ciri yang boleh ditambah sesuka hati kepada semua muat turun untuk menyelesaikan masalah. Tandatangan yang sah tidak bermaksud program tiada kecacatan atau kandungan dokumen benar. Kesepadanan bait, pengesahan sumber dan penilaian kandungan saling berkaitan, tetapi setiap satunya memerlukan asas pemeriksaan sendiri.
6. Dalam sandaran dan kerjasama, catat juga skop perbandingan
Bagi sandaran foto peribadi, menyimpan SHA-256 fail asal dan membandingkannya dengan salinan membantu memeriksa sama ada perubahan berlaku semasa pemindahan. Pada masa yang sama, simpan senarai rujukan supaya tidak hilang atau ditulis ganti bersama fail asal. Jika perisian pengurusan foto menulis semula maklumat putaran atau metadata pengambilan gambar, hash fail mungkin berubah walaupun foto yang kelihatan masih serupa. Maka, bezakan dahulu sama ada matlamatnya pemeliharaan setiap bait atau pemeriksaan sama ada makna foto yang disunting masih sama. Untuk memeriksa seluruh folder, jangan berhenti pada hash satu fail; urus juga senarai fail yang disertakan, laluan relatif dan nilai setiap fail.
Dalam semakan dokumen secara kerjasama, hash juga boleh menjadi penanda untuk menetapkan versi yang disemak. Namun, pemeriksaan hash yang sepadan tidak menggantikan bukti bahawa seseorang benar-benar membaca keseluruhan teks atau membandingkan terjemahan. Catat perkara yang disemak, masa dan kaedahnya, kemudian kaitkan rekod itu dengan nilai fail berkenaan supaya bermakna. Gambar dalam artikel ini ialah rajah penerangan buatan sendiri yang menyusun perbandingan bait, sumber nilai rujukan dan skop pengesahan; bukan hasil pengukuran sebenar atau sijil. Semasa memeriksa fail, cuba catat objek dan algoritma, sumber rujukan serta had kesimpulan yang boleh disokong oleh hasilnya mengikut urutan. Dengan cara ini, kesepadanan dan ketidakpadanan tidak dibesar-besarkan, dan orang seterusnya boleh mengulangi prosedur yang sama.