En las páginas de descargas es habitual encontrarse con los hashes SHA-256 o MD5 de los archivos. Una medida de seguridad para poder verificar que los archivos descargados no han sido modificados tanto debido a un error en transferencia como de intencional. En esta entrada se mostrarán los pasos para comprobar hash SHA-256 o MD5 los sistemas operativos más populares (Windows, macOS o Linux).
Comprobar hash SHA-256 o MD5 en Windows
La herramienta de Windows para calcular y verificar los hashes criptográficos es certutil, una aplicación de línea de comandos que viene instalada por defecto en el sistema. Lo que implica que para su uso se debe abrir la línea de comandos de Windows (lo que se puede conseguir pulsando la tecla Windows, escribiendo “cmd” y pulsando Enter). Para verificar un hash SHA-256, en la línea de comandos se debe escribir el comando, seguido se -hashfile, la ruta a al archivo y SHA256. Básicamente se debe escribir una instrucción como la siguiente.
CertUtil -hashfile Ruta\al\Archivo.extension SHA256
En donde Ruta\al\Archivo.extension se debe reemplazar por la ruta al archivo. Si lo que se desea es verificar un MD5 simplemente se debe reemplazar SHA256 por MD5. En la siguiente captura de pantalla se puede ver cómo se obtienen los hashes SHA-256 o MD5 del ISO de Rocky Linux.
Ahora, para estar seguro que el archivo es el correcto solamente se tiene que comprobar que el valor obtenido es el mismo que se muestra en la página de descargas.
Comprobar hash SHA-256 o MD5 en macOS o Linux
En macOS y Linux existen dos comandos diferentes para verificar los hashes SHA-256 y MD5. El comando para obtener el hash SHA-256 de un archivo es shasum. Este comando se debe ejecutar desde la terminal, pasándole como parámetros -a 256 (con lo que se indica la versión del algoritmo) y la ruta al archivo. Básicamente se debe escribir algo como
shasum -a 256 ruta/al/archivo.extension
En donde, al igual que en Windows, ruta/al/archivo.extension se debe reemplazar por la ruta al archivo. Si se desea validar un hash MD5 se debe usar el comando md5, al que solo se le debe pasar como parámetro la ruta al archivo. Esto es, el comando debería ser algo como:
md5 ruta/al/archivo.extension
La siguiente captura de pantalla muestra cómo se puede obtener los hashes SHA-256 y MD5.
En esta captura se puede ver que los valores son iguales, por los que se puede estar seguro de que en ambos casos se ha descargado la misma imagen de disco sin modificaciones.
¿Qué algoritmo de hash debería usar?
Aunque aún existen múltiples páginas de descargas en la que se ofrece el hash MD5 de los archivos, este algoritmo se considera obsoleto y no se recomienda su uso. Por lo que la opción recomendada, a fecha de publicación de esta entrada, es el uso de SHA-256. El motivo para no recomendar el uso de MD5 es la existencia de vulnerabilidades criptográficas que permiten generar de forma rápida una colisión, esto es, crear un nuevo archivo modificado con el mismo valor de hash que el original, lo que socava la integridad y autenticidad de los datos.
Conclusiones
En esta ocasión se ha visto cómo usar las herramientas que se incluyen en. Windows, macOS y Linux para comprobar hash SHA-256 o MD5. Estas herramientas se incluyen en el sistema y son extremadamente fáciles de utilizar. Por lo que no existe ninguna excusa para no comprobar la integridad de los archivos descargados antes de usarlos, evitando de esta manera que una modificación accidental de estos o, en el peor de los casos, una suplantación por un atacante.
Deja una respuesta