ファイルのチェックサムを確認する方法(SHA-256)

チェックサムでわかること

チェックサムは、ファイルのすべてのバイトから計算する短い指紋のようなものです。ダウンロードしたファイルのチェックサムが開発元の公開しているものと一致すれば、ファイルは同一です。ダウンロードの途中で切れたり、誰かがファイルを書き換えたりして1バイトでも違えば、チェックサムはまったく別のものになります。

ブラウザで

1. ハッシュ生成を開きます。
2. ダウンロードしたファイルを選びます。ハッシュは自分のパソコンの中で計算されます。
3. 公開されているチェックサムを「照合する値」に貼り付けます。一致すればすぐにわかります。

Windowsで

コマンドプロンプトで:

certutil -hashfile file.iso SHA256

または、標準でSHA-256を使うPowerShellで:

Get-FileHash file.iso

Macで

shasum -a 256 file.iso

Linuxで

sha256sum file.iso

MD5とSHA-1

今もMD5やSHA-1のチェックサムを公開しているサイトがあります。ダウンロードの失敗を見つけるには十分ですが、一致する偽物を作れるため、意図的な改ざんは防げません。SHA-256があればそちらを使ってください。

実例

hello という単語だけを入れ、最後に改行を入れないテキストファイルを作ります。そのSHA-256チェックサムは次のとおりです。

2cf24dba5fb0a30e26e83b2ac5b9e29e1b161e5c1fa7425e73043362938b9824

単語の後でEnterキーを押して保存し直すと、ファイルは1バイト増え、チェックサムは次のようになります。

5891b5b522d5df086d0ff0b110fbd9d21bb4fc7163af34d08286a2e846f6be03

2つ目のハッシュは1つ目とまったく似ていません。これがチェックサムの役目です。どんなに小さな変更でも、まったく別の値になります。

よくあるトラブル

• ハッシュがほぼ一致する。「ほぼ」はありません。全文字が一致するか、ファイルが違うかのどちらかです。最初と最後の数文字だけでなく、文字列全体を比べてください。大文字と小文字は同じとみなされます。
• 別のファイルと比べていた。ダウンロードページには、インストーラー、ディスクイメージ、32ビット版と64ビット版など複数のチェックサムが並んでいることがよくあります。ファイル名も照らし合わせてください。
• チェックサムがダウンロードと同じ場所にある。これで分かるのは、途中でファイルが壊れていないことです。サーバー自体が乗っ取られた場合は、両方とも差し替えられている可能性があります。チェックサムのファイルに署名（.asc や .sig）を付けているプロジェクトなら、GPGで署名を確認してその可能性を除けます。