SHA-256チェックサムでファイルを検証する方法

計算前に正しい参照値を入手する

SHA-256ハッシュはファイルのバイト列を表します。ファイル名だけを変更してもハッシュは変わりませんが、ビルドが異なる場合、アーカイブが変更された場合、ダウンロードが途中で切れた場合は通常異なる結果になります。

インストーラーやディスクイメージについては、発行元のリリースページ、または署名を検証済みのチェックサム一覧から値を入手してください。ファイル名、バージョン、対応プラットフォームを照合します。ミラーサイトからダウンロードした場合も、参照値は発行元から取得します。ファイルと公開チェックサムの両方を差し替えられる攻撃者なら、両者を一致させることができます。

ブラウザーまたはターミナルでローカル計算する

SeraShieldのファイルフィンガープリントツールは、100 MiBまでのファイルについてブラウザー内でSHA-256を計算します。受け取った状態のファイルをそのまま選択してください。発行元がアーカイブのチェックサムを公開している場合は、展開前にアーカイブを検証します。

1. ツールでファイルを選択し、比較欄には期待するハッシュ値だけを貼り付けてください。ファイル名、コマンド出力の見出し、その他の文字は含めません。16進数の英字は大文字と小文字を区別しません。
2. WindowsではダウンロードフォルダーでPowerShellを開き、Get-FileHash -LiteralPath './download.zip' -Algorithm SHA256 を実行します。download.zipは実際のファイル名に置き換えてください。Hash列の値全体を比較します。
3. macOSなどshasumがあるシステムでは、ファイルのあるフォルダーで shasum -a 256 './download.zip' を実行します。ファイル名の前に表示される最初の値を比較します。

検証結果から判断できること

信頼できる参照値と一致すれば、ファイルのバイト列が公開されたものと一致する強い証拠になります。ただし実行してよいかどうかは、発行元の信頼性と入手経路にも左右されます。署名付きのリリースが提供されている場合は、その署名の検証手順にも従ってください。

値が一致しない場合はファイルを開かないでください。対象バージョンが正しいこと、参照値がSHA-256であることを確認します。公式サイトから再ダウンロードして検証し直してください。それでも不一致なら、発行元のサポート窓口またはセキュリティー窓口に期待値を確認してください。