Verifikasi unduhan dan integritas file dengan checksum

Hash kriptografis mengubah input menjadi sidik jari dengan panjang tetap. Perubahan satu bit pun sangat mungkin mengubah digest; karena itu digest modern dari sumber tepercaya merupakan bukti kuat bahwa dua salinan berkas memiliki byte yang sama.

• Bukti integritasKecocokan digest SHA-256 dari sumber tepercaya merupakan bukti kuat bahwa salinan Anda memiliki byte yang sama dengan berkas penerbit; itu tidak membuktikan siapa penerbitnya.
• Autentisitas terpisahAutentisitas tidak: checksum yang tercetak di samping unduhan tidak mengatakan siapa penulis file—penyerang yang bisa mengganti unduhan juga bisa mengganti checksum yang tercetak.
• Tanda tangan adalah alat lainAutentisitas butuh mekanisme berbeda: tanda tangan yang diverifikasi terhadap kunci yang sudah Anda percayai, atau checksum yang dikirim lewat kanal yang lebih Anda percayai daripada unduhannya sendiri.

MD5 menghasilkan digest 128-bit yang ditulis sebagai 32 karakter heksadesimal; SHA-1 menghasilkan 160 bit sebagai 40 karakter. Keduanya cepat dan baik untuk mendeteksi korupsi tak disengaja—dan keduanya punya tabrakan yang didemonstrasikan publik, sehingga tak satu pun tahan terhadap penyerang yang membuat file jahat dengan digest yang cocok.

Aturan praktisnya: kecocokan MD5 atau SHA-1 masih menangkap unduhan terpotong atau disk yang mulai rusak, karena kecelakaan tidak menghitung tabrakan. Yang tak lagi bisa dilakukan algoritme itu adalah membersihkan nama file yang punya alasan Anda ragukan—penilaian itu kini milik SHA-256 atau yang lebih kuat.

• MD5 sudah jebolTabrakan MD5 sudah praktis bertahun-tahun: dua file berbeda dengan digest MD5 sama bisa dibuat dengan sengaja, jadi MD5 tak lagi bisa membedakan kecelakaan dari serangan.
• SHA-1 sudah jebolSHA-1 menempuh jalan yang sama: tabrakan yang didemonstrasikan mengakhiri hidupnya sebagai primitif keamanan, dan browser, otoritas sertifikat, serta penyedia hosting kode semuanya sudah pindah.
• SHA-2 adalah baselineKeluarga SHA-2 adalah baseline saat ini: SHA-256 (64 karakter heks) adalah default untuk checksum unduhan yang diterbitkan, dengan SHA-224, SHA-384, dan SHA-512 (56, 96, dan 128 karakter) sebagai saudara untuk batasan berbeda.

Seluruh pemeriksaan memakan waktu di bawah satu menit dan memakai alat yang sudah ada di mesin Anda. Urutannya penting: ambil digest yang diharapkan dari halaman resmi penerbit, hash salinan lokal Anda, dan bandingkan setiap karakter.

Ketidakcocokan tidak selalu berarti kejahatan—unduhan terpotong dan proxy cache rutin merusak file—tetapi responsnya sama saja: file gagal verifikasi, dan satu-satunya langkah benar berikutnya adalah salinan baru dari sumbernya.

• Ambil nilai yang diharapkanTemukan checksum yang diterbitkan di halaman unduhan atau rilis resmi vendor—idealnya lewat HTTPS di domain yang Anda kunjungi sendiri, bukan mirror atau cuplikan hasil pencarian.
• Hash secara lokalHash file unduhan secara lokal: shasum -a 256 di macOS atau Linux, atau Get-FileHash di PowerShell pada Windows. Keduanya berjalan di disk Anda; tidak ada yang diunggah.
• Bandingkan persisBandingkan seluruh digest karakter demi karakter, tanpa memedulikan huruf besar-kecil. Satu karakter berbeda berarti buang file dan ambil salinan baru dari sumbernya—jangan pasang lalu berharap.

Banyak pemeriksaan nyata berupa teks, bukan file: potongan konfigurasi, kunci lisensi, fragmen token, nilai yang didiktekan kolega lewat telepon. Menempelkan itu ke situs acak berarti menyerahkannya ke log orang lain, jadi hashing harus terjadi secara lokal.

Pembuat dan Pemeriksa Hash SHA-256 mencakup standar 64 karakter saat ini untuk checksum terbitan. Verifikasi di sana adalah perbandingan, bukan dekripsi: teks Anda di-hash, dan dua nilai dibandingkan di dalam browser.

• Lokal by designTeks dihitung sebagai UTF-8 tanpa normalisasi (1 MiB). Berkas diproses sebagai byte asli dalam blok 1 MiB (batas 256 MiB), termasuk berkas kosong. Kecocokan digest tidak mengautentikasi sumber; MD5 dan SHA-1 tidak cocok melawan perubahan berbahaya. Worker lokal dapat dibatalkan dengan batas eksekusi 15 detik.
• Perbandingan eksplisitMode verifikasi adalah perbandingan eksplisit: tempel digest yang diharapkan dan ruang kerja melaporkan cocok atau tidak, menolak nilai cacat di muka—persis 32 karakter heks untuk MD5, 64 untuk SHA-256.
• Satu arah by constructionDigest tidak dapat didekripsi, tetapi input pendek atau mudah ditebak dapat dicoba dan di-hash lagi. Jangan gunakan hash umum tanpa salt untuk melindungi kata sandi atau rahasia lain yang entropinya rendah.

Checksum hanya bekerja bila membandingkannya menjadi kebiasaan, bukan renungan kemudian. Beberapa disiplin kecil membuat pemeriksaan andal setiap saat.

Buat atau bandingkan intisari heksadesimal dari teks UTF-8 atau byte asli berkas. Verifikasi membandingkan intisari masukan secara lokal; tidak mendekripsi intisari atau mengautentikasi sumbernya.

• Perbandingan penuhBandingkan setiap karakter. Memeriksa beberapa karakter saja melemahkan pemeriksaan digest apa pun; MD5 dan SHA-1 juga dapat mengalami tabrakan digest penuh meski seluruh nilai dibandingkan.
• Sebutkan algoritmenyaSimpan nama algoritme bersama digestnya: 64 karakter heks bisa berasal dari beberapa algoritme, dan checksum tanpa label mengundang tebakan.
• Hash ulang per hopHash ulang setelah memindahkan file lewat USB, klien sinkronisasi, atau email; setiap hop adalah peluang korupsi baru, dan digest ikut serta gratis.

Bila Anda mendistribusikan file—binary rilis, dataset, alat internal—terbitkan checksum bersamanya. Biayanya satu perintah per artefak dan memberi setiap penerima cara memverifikasi integritas tanpa menghubungi Anda.

Pembuat dan Pemeriksa Hash SHA-512 menghasilkan digest 128 karakter secara lokal bila Anda butuh bentuk lebih panjang, dan saudara SHA-224 serta SHA-384 menutup sisa keluarga SHA-2—mesin sama, tab sama, batas sama.

• Minimal SHA-256Terbitkan minimal SHA-256; tambahkan SHA-512 berdampingan bila audiens Anda memverifikasi di platform yang lebih cepat untuk itu, dan labeli setiap digest dengan algoritmenya.
• Tingkat kepercayaan samaSajikan checksum dari tingkat kepercayaan yang sama dengan unduhan itu sendiri, idealnya dari halaman atau repositori yang sudah dianggap otoritatif oleh pengguna Anda.
• MD5 sebagai label warisanPertahankan baris MD5 hanya sebagai label kompatibilitas warisan, ditandai jelas sebagai pemeriksaan integritas untuk korupsi tak disengaja—jangan pernah sebagai verifikasi keamanan.