fingerprint Verificatore di Checksum dei File star

Perché i distributori di software pubblicano i checksum

Quando scarichi una ISO di Linux, un eseguibile open source o un programma di installazione firmato, la pagina di download riporta di solito un checksum accanto al file — una breve stringa come a94a8fe5ccb19ba61c4c0873d391e987982fbbd. Questa stringa è il risultato dell'esecuzione di una funzione di hash crittografica su ogni singolo byte del file. Se anche un solo bit cambia in un punto qualsiasi del file, l'hash risulta completamente diverso. I distributori lo pubblicano affinché, dopo aver scaricato il file, tu possa eseguire da solo la stessa funzione di hash e confrontare il tuo risultato con quello pubblicato. Se le due stringhe coincidono esattamente, puoi essere certo che la copia sul tuo disco contiene esattamente gli stessi byte che il distributore ha compilato e caricato — niente è stato aggiunto, niente manca, niente è stato alterato.

Un checksum individua due tipi di problemi molto diversi tra loro. Il primo è banale: le connessioni di rete si interrompono a metà trasferimento, i proxy troncano i file di grandi dimensioni e i dischi scrivono talvolta su settori danneggiati — in ognuno di questi casi puoi ritrovarti con un file che sembra completo (dimensione corretta, si apre senza errori evidenti) ma che differisce dall'originale per una manciata di byte corrotti, il che spesso basta a bloccare un'installazione o a corrompere silenziosamente i dati in seguito. Il secondo è di tipo avversariale: se un aggressore compromette un server mirror o intercetta un download in transito sostituendolo con un eseguibile modificato che include malware, confrontare il checksum con il valore pubblicato sulla pagina ufficiale e affidabile è uno dei pochi controlli capaci di scoprirlo davvero — un nome file e una dimensione sono banali da falsificare, ma riprodurre un hash identico richiede di possedere esattamente gli stessi byte originali.

I checksum non sono crittografia

Vale la pena essere precisi su cosa verifica davvero un checksum, perché la terminologia genera spesso confusione. L'hashing è un'operazione a senso unico, irreversibile: SHA-256 trasforma un file in una stringa esadecimale fissa di 64 caratteri, ma non esiste alcuna operazione in grado di trasformare quella stringa di nuovo nel file originale. Questo basta a dimostrare che non si tratta di crittografia — la crittografia è pensata per essere reversibile con la chiave giusta, l'hashing è pensato per non essere mai reversibile. Un checksum verifica l'integrità, non la riservatezza: conferma che i byte che hai sono gli stessi byte sottoposti a hash. Chiunque abbia accesso al file può comunque leggerne ogni byte in chiaro; l'hashing non nasconde in alcun modo il contenuto. Ciò che garantisce è che, se anche un solo byte venisse modificato — di proposito o per errore — l'hash calcolato non corrisponderebbe più a quello pubblicato, e lo sapresti immediatamente.

Questa distinzione conta anche nella scelta dell'algoritmo. SHA-1 è stato ufficialmente considerato compromesso dal punto di vista della sicurezza crittografica nel 2017, quando ricercatori di Google e del CWI di Amsterdam hanno pubblicato l'attacco "SHAttered": due file PDF distinti costruiti per produrre lo stesso hash SHA-1, a dimostrazione che un aggressore sufficientemente motivato può costruire un file dannoso che condivide un checksum con uno legittimo. Questo risultato ha ritirato SHA-1 da qualsiasi impiego critico per la sicurezza — certificati TLS, firme digitali, difesa da un attore ostile che costruisce deliberatamente una collisione. Ma per il caso molto più comune affrontato da questo strumento — verificare che un download non si sia corrotto per una connessione instabile — SHA-1 funziona ancora bene nella pratica, perché nessuno sta costruendo apposta il tuo download corrotto per farlo coincidere con un hash bersaglio; la corruzione accidentale è un capovolgimento casuale di bit, non la costruzione intenzionale di una collisione. Detto questo, quando un distributore offre la scelta, SHA-256 non costa nulla in più da calcolare e chiude del tutto questa lacuna, per cui resta l'opzione predefinita più prudente.