Что доказывает контрольная сумма
SHA-256 превращает любой файл в отпечаток из 64 символов. Изменение одного байта полностью меняет отпечаток, и создать другой файл с тем же SHA-256 невозможно. Поэтому если хеш загрузки совпадает с опубликованным разработчиком, файл побитно совпадает с официальной сборкой — это не версия с подменённым адресом, бэкдором или вредоносом внутри.
Сама контрольная сумма доказывает только совпадение с опубликованным списком. Чтобы доверять списку, проекты его подписывают: Bitcoin Core публикует SHA256SUMS и SHA256SUMS.asc с подписями нескольких сборщиков; Electrum и Sparrow подписывают каждый релиз PGP-ключом разработчика; производители аппаратных кошельков, например Trezor и Ledger, проверяют подпись прошивки на самом устройстве при установке. Если проект даёт подпись, проверьте и её ключом, полученным из источника, независимого от страницы загрузки.
Как проверить загрузку
- Скачайте файл с официального сайта проекта (наберите адрес или откройте закладку, а не поисковую рекламу).
- Откройте страницу с хешами или скачайте файл SHA256SUMS того же релиза.
- Выберите файл здесь. Хеш считается в этой вкладке через Web Crypto API браузера.
- Вставьте опубликованный хеш или весь список: инструмент найдёт строку с именем вашего файла и сравнит.
- Если не совпало — удалите файл и скачайте заново. «Почти совпадает» не бывает.
Для файлов больше 2 ГБ используйте командную строку: sha256sum файл (Linux), shasum -a 256 файл (macOS) или certutil -hashfile файл SHA256 (Windows).
Когда проверка важнее всего
Десктопные кошельки, скачанные архивом или установщиком; приложения кошельков, установленные из APK; прошивки аппаратных кошельков, которые вы ставите вручную; программы узлов вроде Bitcoin Core. Установки из магазина приложений проверяются подписью магазина, но поддельные приложения в магазинах встречаются — сверяйте издателя и ссылку с сайта разработчика до установки.
Частые вопросы
+Мой файл куда-то загружается?
Нет. Браузер читает файл и считает хеш локально функцией crypto.subtle.digest. С устройства ничего не уходит.
+На сайте опубликован SHA-512, а не SHA-256. Подойдёт?
Да. Инструмент считает оба и сравнивает вставленное значение с каждым.
+Хеш совпал, но сайт был поддельный — я в безопасности?
Нет. Если хеш взят с того же поддельного сайта, он просто описывает поддельный файл. Берите хеш из официального источника, лучше — подписанный список.
+Почему хеш отличается регистром букв?
Hex нечувствителен к регистру; сравнение игнорирует регистр и пробелы.
+Нужно ли это для прошивок Ledger или Trezor?
Официальные приложения ставят прошивку, а устройство проверяет подпись производителя. Ручная проверка важна, когда вы сами скачиваете прошивку или приложение-компаньон.
Все расчёты выполняются в вашем браузере, введённые данные не отправляются на KOT.CASH. Результаты — оценка для информации, а не финансовая, налоговая или юридическая консультация.