ソフトウェアや資料をダウンロードしたとき、「本当に配布元のファイルか」「途中で壊れていないか」を確かめたいことがあります。ハッシュ値を使うと、この確認を手元のパソコンだけで行えます。本記事では、その手順と注意点を解説します。
ハッシュ値による確認は、次の3つの手順で行います。
1文字でも違えば、ファイルが変わっていることを意味します。逆に、一致していればダウンロード途中の破損や、ファイルの差し替えがなかったと判断できます。
ハッシュ値は、アルゴリズム(SHA-256かSHA-1か)が違うと、まったく別の値になります。配布元が示すアルゴリズムと、手元で使うアルゴリズムを必ず合わせてください。
配布元の値をコピーして貼り付けるときは、前後の空白や改行が混ざることがあります。また、大文字と小文字は同じ値として扱ってよいことが多いです。比較の前に、余計な空白を取り除いてください。
ここが最も重要な点です。ファイルと同じサイトにハッシュ値が書かれている場合、そのサイトが攻撃を受けてファイルが差し替えられると、ハッシュ値も一緒に書き換えられるおそれがあります。
より確実にするには、次のような方法を組み合わせます。
数GBの大きなファイルを確認する場合、ブラウザ上の計算は時間がかかり、メモリも多く使います。ツールによっては、大きすぎるファイルを扱えないことがあります。その場合は、OSに付属するコマンド(WindowsならCertUtil、macOSやLinuxならshasumなど)を使う方法もあります。
一致しない場合、まずはダウンロードをやり直してください。通信の途中で壊れていることが少なくありません。それでも一致しない場合は、ファイルを実行せず、配布元に問い合わせるのが安全です。
ダウンロードファイルの確認は、配布元のハッシュ値と手元の計算結果を比べる作業です。アルゴリズムを合わせ、値の信頼性を別経路でも確かめると、より安心して使えます。
ファイルのハッシュ値は、ハッシュ生成ツールのファイル入力と照合欄で、そのまま確認できます。ハッシュ値そのものの仕組みはハッシュ値とはで解説しています。