1 Eine oder mehrere Dateien auswählen
Wählen Sie mehrere Dateien, um eine Prüfsummenliste zu prüfen. Jede Datei wird stückweise gelesen, eine nach der anderen. Eine neue Auswahl ersetzt diese Auswahl.
Dateien dieser Auswahl
2 Die Prüfsummen
MD5 und SHA-256 werden standardmäßig berechnet, denn zusammen decken sie fast jede Downloadseite ab. Setzen Sie ein weiteres Häkchen, wird die Datei dafür noch einmal gelesen. Das Lesen ist die langsame Hälfte, und alles, was vor der Auswahl angehakt ist, entsteht in einem einzigen Durchgang.
Weitere Prüfsummen fehlen noch. Erneutes Starten liest nur fehlende Prüfsummen; fertige Ergebnisse bleiben erhalten.
- MD5
passt weicht ab - SHA-1
passt weicht ab - SHA-256
passt weicht ab - SHA-384
passt weicht ab - SHA-512
passt weicht ab
3 Gegen den erwarteten Wert prüfen
Fügen Sie die Prüfsumme ein, die die Downloadseite Ihnen gegeben hat. Die Form spielt keine Rolle: bloße Hexzeichen, eine Zeile aus sha256sum, eine ganze SHA256SUMS-Datei, die Form SHA256 (datei) = … oder das integrity-Attribut aus einem Script-Tag. Welches Verfahren es ist, ergibt sich aus der Länge, Sie müssen also nichts auswählen.
Das ist eine . Das ist eine Liste. Prüfsummen stehen darin. Das sind Hexzeichen, und keine der Prüfsummen hier ist so lang. Meist fehlt einer Kopie das Ende. Darin sieht nichts nach einer Prüfsumme aus.
✓ Das ist die Datei, die diese Prüfsumme beschreibt. Ihre ist Zeichen für Zeichen die, die Sie eingefügt haben.
✓ Die Bytes passen, aber zu einer anderen Zeile. Was Sie eingefügt haben, nennt diese Datei , und die ausgewählte Datei heißt anders. Entweder wurde sie unterwegs umbenannt, oder es ist nicht der Download, den Sie prüfen wollten. Die stimmt in beiden Fällen.
✗ Das ist nicht die Datei, die diese Prüfsumme beschreibt. Ihre ist eine andere, also sind die Bytes andere: ein abgebrochener Download, die falsche Version oder ein Spiegelserver, der etwas anderes ausliefert. Holen Sie die Datei noch einmal, bevor Sie sie öffnen.
… Die für den Vergleich wird gerade berechnet.
… Wählen Sie oben eine Datei aus, dann steht hier, ob sie passt.
# Hash & Prüfsumme — MD5, SHA-1, SHA-256, SHA-512 Einen Download gegen die Zahl prüfen, die der Anbieter veröffentlicht hat. Ohne sie jemandem zu schicken. > Die MD5-, SHA-1-, SHA-256-, SHA-384- oder SHA-512-Prüfsumme einer beliebigen Datei berechnen und mit der Angabe der Downloadseite vergleichen. Die Datei wird im Browser gelesen und nie hochgeladen, in jeder Größe. Dies ist ein interaktives Browser-Werkzeug unter https://abox.tools/de/pruefsumme-berechnen/. Dateien werden auf dem Gerät verarbeitet, auf dem dieser Browser läuft. Bewusstes Teilen und optionale Netzwerkfunktionen werden auf der Seite erklärt. Hier folgt die schriftliche Erklärung; zum Benutzen öffnen Sie die Adresse. ## Ihre Dateien werden **in Ihrem Browser verarbeitet**. Kein Upload zur Verarbeitung. Eine Prüfsumme ist Rechnerei über den Bytes Ihrer Datei, und gerechnet wird hier, auf dieser Seite, mit Ihrem eigenen Prozessor. Die Datei wird in Stücken von vier Megabyte von Ihrer Festplatte gelesen, und jedes Stück wird verworfen, sobald es verrechnet ist. Nirgendwo entsteht also eine vollständige Kopie, weder im Arbeitsspeicher noch gar auf einem Server. Am anderen Ende dieser Seite sitzt überhaupt kein Server, an den sich etwas schicken ließe, selbst wenn hier irgendetwas das wollte. - ✗ Kein Upload - ✗ Keine Größengrenze - ✓ Funktioniert offline - ✓ Quelloffen - ✓ Dateien bleiben auf Ihrem Gerät ## So prüfen Sie einen Download gegen seine Prüfsumme 1. **Die Datei auswählen.** Ziehen Sie sie auf das Feld oder wählen Sie sie von Hand. Sie wird stückweise direkt von Ihrer Festplatte gelesen. Dabei geht nichts irgendwohin, und es gibt keine Größe, bei der die Seite aufgibt. 2. **Lesen lassen.** MD5 und SHA-256 werden standardmäßig berechnet, in einem einzigen Durchgang. Der Balken zeigt, wie weit die Seite in der Datei ist und wie schnell das geht. Ein großes Festplattenabbild dauert etwa so lange wie das Kopieren, denn es ist dieselbe Menge Lesearbeit. 3. **Einfügen, was herauskommen soll.** Was die Downloadseite Ihnen gegeben hat, in welcher Form auch immer: als bloße Hexzeichen, als Zeile aus `sha256sum`, als ganze `SHA256SUMS`-Datei oder als `integrity`-Attribut aus einem Script-Tag. Welches Verfahren es ist, ergibt sich aus der Länge, und das passende Kästchen setzt sich selbst. 4. **Die Antwort lesen, nicht die Farbe.** Die Seite sagt in einem Satz, ob das die Datei ist, die diese Prüfsumme beschreibt. Passt sie, sind die Bytes identisch mit denen, die der Anbieter gemessen hat. Passt sie nicht, sind sie es nicht, und der Download gehört noch einmal geholt, bevor Sie ihn öffnen. 5. **Die Prüfsummen mitnehmen, falls Sie sie brauchen.** Eine kopieren, alle kopieren oder als kleine Textdatei sichern, in der Form mit vorangestelltem Verfahren, die auch die Kommandozeilenwerkzeuge schreiben. So reist der Name des Verfahrens neben der Zahl mit. ## Die ausführliche Fassung [So prüfen Sie einen Download gegen seine Prüfsumme](https://abox.tools/de/ratgeber/pruefsumme-vergleichen/): Wie Sie eine MD5- oder SHA-256-Prüfsumme unter Windows, macOS und Linux oder im Browser vergleichen, was ein Treffer wirklich beweist und welcher Fehler die ganze Übung wertlos macht. ## Auch im Werkzeugkasten - [Passwort- & Passphrasen-Generator](https://abox.tools/de/passwort-generator/): Hier erzeugt, von Ihrem eigenen Browser, und nirgendwohin gesendet. Nichts wird gespeichert, es gibt keinen Verlauf. - [JSON-Formatierer](https://abox.tools/de/json-formatieren/): JSON, XML, HTML, CSS und YAML, formatiert oder umgewandelt. Nichts davon wird in den Server eines anderen eingefügt. - [YAML-zu-JSON-Umwandler](https://abox.tools/de/yaml-in-json-umwandeln/): Beide Richtungen, und es sagt Ihnen, was jede davon kostet. Nichts davon wird in den Server eines anderen eingefügt. - [XML-Formatierer](https://abox.tools/de/xml-formatieren/): XML zum Lesen ausgelegt oder zum Ausliefern flach gepresst, und in beide Richtungen zu JSON umgewandelt. Nichts davon wird in den Server eines anderen eingefügt. ## Fragen ### Wird meine Datei irgendwohin hochgeladen? Nein. Ihr eigener Browser liest sie von Ihrer Festplatte und rechnet auf Ihrem eigenen Prozessor, in Stücken von vier Megabyte. Es gibt zu diesem Werkzeug keine Serverseite, und in der `Content-Security-Policy` der Seite steht jede Adresse, die sie kontaktieren darf. Keine davon gehört uns. Trennen Sie die Internetverbindung, und es arbeitet weiter. ### Gibt es eine Größengrenze? Nein. Die Datei liegt nie vollständig irgendwo. Sie wird in Stücken gelesen, und jedes Stück wird verrechnet und verworfen, sodass ein Festplattenabbild von vierzig Gigabyte genauso wenige Megabyte Speicher braucht wie eine Textdatei. Es kostet Zeit, und wie viel, sagt Ihnen die Seite währenddessen. \ \ Deshalb sind die Verfahren hier ausgeschrieben, statt sie an `crypto.subtle.digest` des Browsers zu geben, das schneller wäre. Diese Funktion nimmt die ganze Nachricht in einem einzigen Puffer entgegen, und es gibt keinen Weg, ihr eine Datei stückweise zu geben. Sie zu benutzen hieße, die größte prüfbare Datei davon abhängig zu machen, wie viel Speicher dieser Tab gerade bekommt. Auf einem Telefon sind das ein paar hundert Megabyte, und was die Leute am dringendsten prüfen wollen, sind Festplattenabbilder. ### Die Prüfsumme passt. Was ist damit eigentlich bewiesen? Dass die Bytes auf Ihrer Festplatte dieselben sind, die jemand gemessen hat, als er diese Zahl aufschrieb. Mehr nicht, und die Grenzen lohnen sich genau. \ \ Bewiesen ist, dass der Download nicht abgeschnitten wurde, nicht von einer defekten Platte verfälscht und nicht unterwegs ausgetauscht wurde. **Nicht** bewiesen ist, dass die Datei ungefährlich ist, denn ein Anbieter kann Schadsoftware genauso genau messen wie alles andere. Und bewiesen ist sehr wenig, wenn die Prüfsumme von derselben Seite über dieselbe Verbindung kam wie die Datei. Wer das eine ändern konnte, konnte auch das andere ändern. Eine Prüfsumme ist am meisten wert, wenn sie Sie auf einem anderen Weg erreicht: als signierte `SHA256SUMS`-Datei, über die Release-Ankündigung einer Distribution, über einen zweiten Spiegelserver oder über eine Paketverwaltung, die sie ohnehin schon kennt. ### Sie passt nicht. Was jetzt? Laden Sie die Datei zuerst noch einmal herunter, von derselben Stelle. Eine abgebrochene oder fortgesetzte Übertragung ist mit weitem Abstand die häufigste Ursache, und die zweite Kopie klärt es meistens. \ \ Gibt die zweite Kopie dieselbe falsche Antwort, prüfen Sie, ob Sie gegen die richtige Zeile vergleichen. Auf Releaseseiten stehen mehrere Dateien, und die Prüfsumme des ARM-Builds passt nie zu der des x86-Builds. Prüfen Sie dann die Versionsnummer. Stimmt das alles und passt es immer noch nicht, öffnen Sie die Datei nicht. Holen Sie sie von einem anderen Spiegelserver und vergleichen Sie die beiden Prüfsummen miteinander. ### Welches Verfahren soll ich nehmen? Das, was der Anbieter veröffentlicht hat. Der Sinn der Übung ist der Vergleich mit dessen Zahl, und die können Sie nicht für ihn aussuchen. \ \ Erzeugen Sie selbst eine Prüfsumme, statt eine zu prüfen, nehmen Sie SHA-256. MD5 und SHA-1 sind in dem Sinn gebrochen, auf den es ankommt: Zwei verschiedene Dateien mit demselben Wert lassen sich absichtlich bauen, bei MD5 in Stunden und bei SHA-1 zu überschaubaren Kosten. Gegen Versehen taugen sie trotzdem, denn ein abgebrochener Download trifft nicht zufällig auf denselben Wert. Nur sagen können sie Ihnen nicht mehr, dass niemand nachgeholfen hat. SHA-384 und SHA-512 sind in Ordnung und in der Praxis nicht besser. Sie stehen hier, weil manche Projekte sie veröffentlichen. ### Warum ist MD5 überhaupt dabei, wenn es gebrochen ist? Weil es weiterhin gedruckt wird. Spiegelserver, Firmware-Downloads, Hochschulseiten und sehr viele Herstellerseiten haben vor zwanzig Jahren eine MD5 veröffentlicht und die Seite seither nicht angefasst. Ein Werkzeug, das sich weigerte, eine zu berechnen, weigerte sich, die Frage zu beantworten, mit der seine Besucher tatsächlich gekommen sind. \ \ Sagen kann es stattdessen, was die Antwort wert ist, und genau das steht neben dem Kästchen. Eine passende MD5 schließt einen kaputten Download immer noch aus. Einen absichtlichen schließt sie nicht aus. ### Welche Formate kann ich in das Vergleichsfeld einfügen? Alle gebräuchlichen, und die Seite erkennt selbst, welches es ist. \ \ Bloße Hexzeichen, mit oder ohne Leerzeichen darin. Eine Zeile aus `md5sum` oder `sha256sum`, mit dem Dateinamen dahinter. Eine ganze `SHA256SUMS`-Datei mit vierzig Zeilen; in dem Fall wird die Zeile genommen, die Ihre Datei nennt. Die BSD-Form `SHA256 (disk.iso) = …`. Eine Beschriftung davor, wie in `SHA-256: …`. Und ein Subresource-Integrity-Attribut, `sha384-…`, das in Base64 statt in Hex steht und vor dem Vergleich dekodiert wird. \ \ Welches Verfahren es ist, ergibt sich aus der Länge: 32 Hexzeichen sind eine MD5, 40 eine SHA-1, 64 eine SHA-256, 96 eine SHA-384 und 128 eine SHA-512. Keine zwei sind gleich lang, es gibt also nichts auszuwählen und nichts falsch zu machen. ### Kommt dasselbe heraus wie bei sha256sum oder certutil? Ja, Byte für Byte. Das sind exakte Spezifikationen mit veröffentlichten Testvektoren, und jedes Verfahren hier wird bei jedem Build gegen diese Vektoren und gegen die Implementierung des Betriebssystems geprüft. \ \ Ein Unterschied bleibt in der Darstellung. Das Windows-Werkzeug `certutil -hashfile` schreibt in Großbuchstaben und mit Leerzeichen; diese Seite schreibt klein, was fast jeder Anbieter verwendet. Der Vergleich ignoriert beides, eine aus certutil kopierte Prüfsumme passt hier also zu einer kleingeschriebenen. ### Kann ich zwei Dateien gegeneinander prüfen? Ja, mit einem Zwischenschritt: die erste prüfen, ihre Prüfsumme kopieren, dann die zweite auswählen und diese Prüfsumme in das Feld einfügen. Sind die beiden Dateien identisch, sagt die Seite es Ihnen. \ \ Das lohnt sich für den Fall, in dem Prüfsummen unauffällig am besten sind: die Frage, ob die Kopie auf der Sicherungsplatte wirklich dieselbe Datei ist wie die auf dem Rechner, wenn beide dieselbe Größe und dasselbe Datum behaupten. ### Verändert es meine Datei? Nein. Dieses Werkzeug liest nur. Es gibt keine Ausgabedatei, keine Neukodierung und nichts, was zurückgeschrieben würde. Herunterladen können Sie allein eine kleine Textdatei mit den Prüfsummen. Ihr Original bleibt unangetastet auf Ihrer Festplatte, was zugleich die ehrliche Antwort darauf ist, was beim Schließen des Tabs passiert. ### Ist es kostenlos, und brauche ich ein Konto? Es ist kostenlos, und es gibt kein Konto, keine Anmeldung und keine Testphase. Es gibt keine Grenze für die Dateigröße und keine dafür, wie viele Dateien Sie prüfen. Die Seite trägt Werbung, die sie bezahlt; die Werbung bekommt nichts über Ihre Datei. ### Funktioniert es offline? Ja. Laden Sie die Seite einmal, trennen Sie dann die Internetverbindung, und sie arbeitet weiter. Das ist zugleich der einfachste Beweis dafür, dass nichts hochgeladen wird. Ein Werkzeug, das Ihre Datei zum Berechnen wegschickt, bliebe in dem Moment stehen, in dem Sie den Stecker ziehen. ## So lässt sich das Datenschutzversprechen nachprüfen - **Die Verarbeitung findet in diesem Browser statt.** Dieses Werkzeug verarbeitet Eingaben und Ergebnisse im Browser. Sein Verarbeitungscode lädt sie nicht zur Verarbeitung hoch. Content-Security-Policy begrenzt Ressourcen und Verbindungsziele; erlaubte Hosts können jedoch Anfragen empfangen. Die Richtlinie prüft keine Nutzdaten und beweist allein keine ausbleibende Übertragung. Vergleichen Sie Quelltext und konkrete Anfragen oder führen Sie die lokale Operation ohne Verbindung aus. - **Die Datei liegt nie vollständig irgendwo, in keiner Größe.** Sie wird in Stücken von vier Megabyte gelesen, und jedes Stück wird in den laufenden Zustand verrechnet und verworfen. Diese Seite braucht für ein Festplattenabbild von vierzig Gigabyte also genauso viel Speicher wie für eine Textdatei, und es gibt keine Größe, bei der sie aufgibt. Deshalb wird auch `crypto.subtle.digest` nicht verwendet, das der Browser mitbringt. Diese Funktion will die ganze Datei auf einmal im Speicher, und genau diese Grenze soll es hier nicht geben. - **Fünf Verfahren, fünf Dateien in diesem Repository.** In `src/md5.js`, `src/sha1.js`, `src/sha256.js` und `src/sha512.js` stehen die veröffentlichten Spezifikationen ausgeschrieben, je etwa sechzig Zeilen, mit ausgeschriebenen Konstantentabellen statt berechneter. So kann nichts am Ergebnis von Ihrem Browser abhängen. Jedes Verfahren wird bei jedem Build gegen die offiziellen Testvektoren und gegen die Implementierung des Betriebssystems geprüft. - **Auch die eingefügte Prüfsumme geht nirgendwohin.** Verglichen wird hier, auf der Seite, gegen den hier berechneten Wert. Über diesen Vergleich erfährt niemand etwas, weder den Wert noch das Ergebnis noch den Dateinamen. Das wiegt schwerer, als es klingt. Eine Prüfsumme zusammen mit einem Dateinamen verrät demjenigen, der sie einsammelt, genau, welchen Build welcher Software Sie gerade heruntergeladen haben. - **Was Google lädt und was Google nicht bekommt.** Die Werbe- und Messskripte kommen von Google. Keines von beiden bekommt etwas über Ihre Datei, weder die Datei noch ihren Namen, ihre Größe oder eine der berechneten Prüfsummen. Jede Zeile, die ein Byte liest oder verrechnet, kommt von dieser Domain und steht im Repository. - **Was der Spenden-Button lädt und was er nicht bekommt.** Den „Buy me a coffee“-Button oben zeichnet ein Skript von cdnjs.buymeacoffee.com, und seine Schrift holt er von Google Fonts. Er ist ein Link und sonst nichts. Er meldet keinen Besuch, und er bekommt nichts über Sie oder Ihre Dateien. Es passiert nichts, solange Sie nicht klicken, und was Sie dann öffnen, ist die Seite von jemand anderem. - **Es funktioniert offline.** Trennen Sie die Internetverbindung, und jeder Teil dieser Seite arbeitet weiter. Das ist der einfachste Beweis von allen. Ein Werkzeug, das Ihre Datei zum Berechnen wegschickt, bliebe in dem Moment stehen, in dem Sie den Stecker ziehen. **Prüfen Sie es selbst.** Nichts davon müssen Sie uns glauben. Ein Build-Skript erzeugt diese Seite aus den Vorlagen und der Konfiguration im Repository, und dieses Skript können Sie lesen und selbst ausführen. Das Ergebnis liegt im Branch `dist`. Vergleichen Sie also, was ausgeliefert wird, mit dem, was ein Build der Quellen hervorbringt: https://github.com/A-Box-of-Tools/website Zuerst lesenswert sind `config/site.toml` für die Content-Security-Policy, `src/md5.js`, `src/sha1.js`, `src/sha256.js` und `src/sha512.js` für die vier Kompressionsfunktionen, `src/blocks.js` für das Auffüllen, das sie sich teilen, und `src/hash.js` für die Schleife, die Ihre Datei stückweise liest. In keiner dieser Dateien steht eine Zeile, die ans Netz käme.
So prüfen Sie einen Download gegen seine Prüfsumme
- Die Datei auswählen. Ziehen Sie sie auf das Feld oder wählen Sie sie von Hand. Sie wird stückweise direkt von Ihrer Festplatte gelesen. Dabei geht nichts irgendwohin, und es gibt keine Größe, bei der die Seite aufgibt.
- Lesen lassen. MD5 und SHA-256 werden standardmäßig berechnet, in einem einzigen Durchgang. Der Balken zeigt, wie weit die Seite in der Datei ist und wie schnell das geht. Ein großes Festplattenabbild dauert etwa so lange wie das Kopieren, denn es ist dieselbe Menge Lesearbeit.
- Einfügen, was herauskommen soll. Was die Downloadseite Ihnen gegeben hat, in welcher Form auch immer: als bloße Hexzeichen, als Zeile aus
sha256sum, als ganzeSHA256SUMS-Datei oder alsintegrity-Attribut aus einem Script-Tag. Welches Verfahren es ist, ergibt sich aus der Länge, und das passende Kästchen setzt sich selbst. - Die Antwort lesen, nicht die Farbe. Die Seite sagt in einem Satz, ob das die Datei ist, die diese Prüfsumme beschreibt. Passt sie, sind die Bytes identisch mit denen, die der Anbieter gemessen hat. Passt sie nicht, sind sie es nicht, und der Download gehört noch einmal geholt, bevor Sie ihn öffnen.
- Die Prüfsummen mitnehmen, falls Sie sie brauchen. Eine kopieren, alle kopieren oder als kleine Textdatei sichern, in der Form mit vorangestelltem Verfahren, die auch die Kommandozeilenwerkzeuge schreiben. So reist der Name des Verfahrens neben der Zahl mit.
Die ausführliche Fassung
So prüfen Sie einen Download gegen seine Prüfsumme Wie Sie eine MD5- oder SHA-256-Prüfsumme unter Windows, macOS und Linux oder im Browser vergleichen, was ein Treffer wirklich beweist und welcher Fehler die ganze Übung wertlos macht.
Auch im Werkzeugkasten
Fragen
Wird meine Datei irgendwohin hochgeladen?
Nein. Ihr eigener Browser liest sie von Ihrer Festplatte und rechnet auf Ihrem eigenen Prozessor, in Stücken von vier Megabyte. Es gibt zu diesem Werkzeug keine Serverseite, und in der Content-Security-Policy der Seite steht jede Adresse, die sie kontaktieren darf. Keine davon gehört uns. Trennen Sie die Internetverbindung, und es arbeitet weiter.
Gibt es eine Größengrenze?
Nein. Die Datei liegt nie vollständig irgendwo. Sie wird in Stücken gelesen, und jedes Stück wird verrechnet und verworfen, sodass ein Festplattenabbild von vierzig Gigabyte genauso wenige Megabyte Speicher braucht wie eine Textdatei. Es kostet Zeit, und wie viel, sagt Ihnen die Seite währenddessen.
Deshalb sind die Verfahren hier ausgeschrieben, statt sie an crypto.subtle.digest des Browsers zu geben, das schneller wäre. Diese Funktion nimmt die ganze Nachricht in einem einzigen Puffer entgegen, und es gibt keinen Weg, ihr eine Datei stückweise zu geben. Sie zu benutzen hieße, die größte prüfbare Datei davon abhängig zu machen, wie viel Speicher dieser Tab gerade bekommt. Auf einem Telefon sind das ein paar hundert Megabyte, und was die Leute am dringendsten prüfen wollen, sind Festplattenabbilder.
Die Prüfsumme passt. Was ist damit eigentlich bewiesen?
Dass die Bytes auf Ihrer Festplatte dieselben sind, die jemand gemessen hat, als er diese Zahl aufschrieb. Mehr nicht, und die Grenzen lohnen sich genau.
Bewiesen ist, dass der Download nicht abgeschnitten wurde, nicht von einer defekten Platte verfälscht und nicht unterwegs ausgetauscht wurde. Nicht bewiesen ist, dass die Datei ungefährlich ist, denn ein Anbieter kann Schadsoftware genauso genau messen wie alles andere. Und bewiesen ist sehr wenig, wenn die Prüfsumme von derselben Seite über dieselbe Verbindung kam wie die Datei. Wer das eine ändern konnte, konnte auch das andere ändern. Eine Prüfsumme ist am meisten wert, wenn sie Sie auf einem anderen Weg erreicht: als signierte SHA256SUMS-Datei, über die Release-Ankündigung einer Distribution, über einen zweiten Spiegelserver oder über eine Paketverwaltung, die sie ohnehin schon kennt.
Sie passt nicht. Was jetzt?
Laden Sie die Datei zuerst noch einmal herunter, von derselben Stelle. Eine abgebrochene oder fortgesetzte Übertragung ist mit weitem Abstand die häufigste Ursache, und die zweite Kopie klärt es meistens.
Gibt die zweite Kopie dieselbe falsche Antwort, prüfen Sie, ob Sie gegen die richtige Zeile vergleichen. Auf Releaseseiten stehen mehrere Dateien, und die Prüfsumme des ARM-Builds passt nie zu der des x86-Builds. Prüfen Sie dann die Versionsnummer. Stimmt das alles und passt es immer noch nicht, öffnen Sie die Datei nicht. Holen Sie sie von einem anderen Spiegelserver und vergleichen Sie die beiden Prüfsummen miteinander.
Welches Verfahren soll ich nehmen?
Das, was der Anbieter veröffentlicht hat. Der Sinn der Übung ist der Vergleich mit dessen Zahl, und die können Sie nicht für ihn aussuchen.
Erzeugen Sie selbst eine Prüfsumme, statt eine zu prüfen, nehmen Sie SHA-256. MD5 und SHA-1 sind in dem Sinn gebrochen, auf den es ankommt: Zwei verschiedene Dateien mit demselben Wert lassen sich absichtlich bauen, bei MD5 in Stunden und bei SHA-1 zu überschaubaren Kosten. Gegen Versehen taugen sie trotzdem, denn ein abgebrochener Download trifft nicht zufällig auf denselben Wert. Nur sagen können sie Ihnen nicht mehr, dass niemand nachgeholfen hat. SHA-384 und SHA-512 sind in Ordnung und in der Praxis nicht besser. Sie stehen hier, weil manche Projekte sie veröffentlichen.
Warum ist MD5 überhaupt dabei, wenn es gebrochen ist?
Weil es weiterhin gedruckt wird. Spiegelserver, Firmware-Downloads, Hochschulseiten und sehr viele Herstellerseiten haben vor zwanzig Jahren eine MD5 veröffentlicht und die Seite seither nicht angefasst. Ein Werkzeug, das sich weigerte, eine zu berechnen, weigerte sich, die Frage zu beantworten, mit der seine Besucher tatsächlich gekommen sind.
Sagen kann es stattdessen, was die Antwort wert ist, und genau das steht neben dem Kästchen. Eine passende MD5 schließt einen kaputten Download immer noch aus. Einen absichtlichen schließt sie nicht aus.
Welche Formate kann ich in das Vergleichsfeld einfügen?
Alle gebräuchlichen, und die Seite erkennt selbst, welches es ist.
Bloße Hexzeichen, mit oder ohne Leerzeichen darin. Eine Zeile aus md5sum oder sha256sum, mit dem Dateinamen dahinter. Eine ganze SHA256SUMS-Datei mit vierzig Zeilen; in dem Fall wird die Zeile genommen, die Ihre Datei nennt. Die BSD-Form SHA256 (disk.iso) = …. Eine Beschriftung davor, wie in SHA-256: …. Und ein Subresource-Integrity-Attribut, sha384-…, das in Base64 statt in Hex steht und vor dem Vergleich dekodiert wird.
Welches Verfahren es ist, ergibt sich aus der Länge: 32 Hexzeichen sind eine MD5, 40 eine SHA-1, 64 eine SHA-256, 96 eine SHA-384 und 128 eine SHA-512. Keine zwei sind gleich lang, es gibt also nichts auszuwählen und nichts falsch zu machen.
Kommt dasselbe heraus wie bei sha256sum oder certutil?
Ja, Byte für Byte. Das sind exakte Spezifikationen mit veröffentlichten Testvektoren, und jedes Verfahren hier wird bei jedem Build gegen diese Vektoren und gegen die Implementierung des Betriebssystems geprüft.
Ein Unterschied bleibt in der Darstellung. Das Windows-Werkzeug certutil -hashfile schreibt in Großbuchstaben und mit Leerzeichen; diese Seite schreibt klein, was fast jeder Anbieter verwendet. Der Vergleich ignoriert beides, eine aus certutil kopierte Prüfsumme passt hier also zu einer kleingeschriebenen.
Kann ich zwei Dateien gegeneinander prüfen?
Ja, mit einem Zwischenschritt: die erste prüfen, ihre Prüfsumme kopieren, dann die zweite auswählen und diese Prüfsumme in das Feld einfügen. Sind die beiden Dateien identisch, sagt die Seite es Ihnen.
Das lohnt sich für den Fall, in dem Prüfsummen unauffällig am besten sind: die Frage, ob die Kopie auf der Sicherungsplatte wirklich dieselbe Datei ist wie die auf dem Rechner, wenn beide dieselbe Größe und dasselbe Datum behaupten.
Verändert es meine Datei?
Nein. Dieses Werkzeug liest nur. Es gibt keine Ausgabedatei, keine Neukodierung und nichts, was zurückgeschrieben würde. Herunterladen können Sie allein eine kleine Textdatei mit den Prüfsummen. Ihr Original bleibt unangetastet auf Ihrer Festplatte, was zugleich die ehrliche Antwort darauf ist, was beim Schließen des Tabs passiert.
Ist es kostenlos, und brauche ich ein Konto?
Es ist kostenlos, und es gibt kein Konto, keine Anmeldung und keine Testphase. Es gibt keine Grenze für die Dateigröße und keine dafür, wie viele Dateien Sie prüfen. Die Seite trägt Werbung, die sie bezahlt; die Werbung bekommt nichts über Ihre Datei.
Funktioniert es offline?
Ja. Laden Sie die Seite einmal, trennen Sie dann die Internetverbindung, und sie arbeitet weiter. Das ist zugleich der einfachste Beweis dafür, dass nichts hochgeladen wird. Ein Werkzeug, das Ihre Datei zum Berechnen wegschickt, bliebe in dem Moment stehen, in dem Sie den Stecker ziehen.