Come confrontare la somma SHA-256 di un download

Cosa significa confrontare una somma SHA-256

Il confronto consiste nel calcolare la somma SHA-256 di un file locale e confrontarla con un valore di riferimento associato al file che ti aspettavi di scaricare. Perché il confronto sia significativo, i due valori devono riferirsi allo stesso file e alla stessa versione. Senza un riferimento pertinente, non è possibile effettuare questo confronto.

La guida di GobMis descrive la procedura per un’immagine ISO: calcolare la somma SHA-256 dell’ISO locale e confrontarla con la somma inclusa nel file «.iso.sha256». L’esempio illustra la logica generale: prima identifichi il file e il relativo riferimento, poi confronti i valori completi.

Una corrispondenza significa che i valori confrontati sono uguali. Da sola, non dimostra chi ha creato il file, che il riferimento provenga da una fonte affidabile o che l’origine del file sia autentica. Perciò, oltre al risultato, è importante sapere da dove hai ottenuto il riferimento e a quale versione si riferisce.

• Identifica il file locale e la versione che vuoi controllare.
• Ottieni un riferimento che corrisponda a quel file e a quella versione.
• Interpreta una corrispondenza come uguaglianza tra i valori confrontati, non come prova dell’origine.

Cosa ti serve prima di iniziare

Tieni a portata di mano il file scaricato e il valore di riferimento completo. Annota il nome del file e l’etichetta della versione che stai controllando. Se il riferimento è pubblicato insieme a un file di checksum, come «.iso.sha256» nell’esempio di GobMis, verifica che quel file ausiliario corrisponda all’ISO che hai.

È inoltre utile identificare la provenienza del riferimento: per esempio, la pagina o il canale in cui lo hai trovato. Questo non rende automaticamente affidabile il riferimento, ma ti permette di distinguere quale valore hai utilizzato e di chiedere conferma a chi ha fornito il file in caso di discrepanza.

Se non disponi di una somma di riferimento, puoi calcolare la somma SHA-256 del file locale, ma non avrai un secondo valore con cui effettuare questo confronto. In tal caso, non presentare il risultato locale come una verifica rispetto a un riferimento. Cerca prima il valore corrispondente alla versione esatta che vuoi controllare.

• Tieni a disposizione il file scaricato e il riferimento completo.
• Registra il nome e la versione o etichetta del file, oltre alla provenienza del riferimento.
• Verifica che il riferimento sia fornito per quel file, non soltanto per un prodotto o una versione diversa.

Come ottenere il valore locale

Il metodo per identificare l’hash dipende dal sistema operativo. Dell Support fornisce istruzioni organizzate per Windows, macOS e Linux: consulta la sezione relativa al sistema che utilizzi e applicala al file scaricato che vuoi controllare. La guida è esterna e spiega come identificare l’hash SHA-256 di un file.

Prima di seguire queste indicazioni, verifica quale file selezionerai. Se hai scaricato più file o versioni, fai attenzione a non calcolare per errore la somma di un altro elemento: il valore ottenuto deve riferirsi al file specifico che confronterai con il riferimento. Conserva il risultato completo, così da non confrontarne solo una parte.

Per un’ISO, la guida di GobMis illustra il caso specifico: calcola la somma SHA-256 dell’ISO locale e confrontala con la somma inclusa nel file «.iso.sha256». Per questo esempio, segui le istruzioni riportate su quella pagina. Questa guida non fornisce comandi propri né attribuisce il calcolo ad Apification Cloud.

• Istruzioni di Dell Support per sistema operativo: https://www.dell.com/support/kbdoc/es-es/000130826/c%C3%B3mo-identificar-el-hash-sha-256-de-un-archivo-para-aplicaciones-de-seguridad.
• Procedura di GobMis per un’ISO: https://linux-gobmis.readthedocs.io/verificacion.html.
• Applica le istruzioni al file specifico e conserva il valore SHA-256 completo.

Come confrontare i valori e verificare una discrepanza

Confronta il valore locale completo con il riferimento completo. Prima di interpretare il risultato, controlla quattro elementi: di aver selezionato il file corretto; che entrambi i valori corrispondano alla stessa versione; che il riferimento sia quello previsto per quel file; e di aver seguito la procedura per identificare SHA-256, non un’altra. Nell’esempio di GobMis, il confronto avviene tra l’ISO locale e la somma indicata nel file «.iso.sha256».

Se i valori coincidono, registra che i due valori erano uguali per il file e il riferimento che hai identificato. Se non coincidono, non modificare né accorciare i valori per forzare una corrispondenza. Ricontrolla il nome del file, la versione, il riferimento e il metodo utilizzato; poi ripeti il confronto seguendo le istruzioni pertinenti.

Se la differenza persiste, interrompi la procedura e chiedi a chi ha fornito il file di confermare qual è la versione e qual è il riferimento corretto. Fino a quando non ricevi questa conferma, non considerare risolto il confronto. Le fonti citate spiegano come ottenere e confrontare le somme, ma non elencano cause specifiche di discrepanza; pertanto, è meglio non presumere quale l’abbia provocata.

• Controlla, nell’ordine, file, versione, riferimento e metodo.
• Confronta i valori completi e ripeti il controllo se hai selezionato l’elemento sbagliato.
• Se la differenza persiste, sospendi l’uso previsto e chiedi conferma del riferimento.

Cosa permette di concludere il risultato e cosa no

Quando i valori coincidono, puoi concludere che il valore SHA-256 ottenuto per il file locale è uguale al valore di riferimento utilizzato. Questa conclusione è limitata a quei due valori, a quel file e a quel riferimento. Registra gli elementi specifici, così che un’altra persona possa capire quale confronto è stato effettuato.

La corrispondenza non autentica l’origine del file né dimostra che il riferimento sia affidabile. Se non sai chi ha pubblicato il riferimento o se corrisponde alla versione prevista, il risultato non risolve questo dubbio. Da sola, la comparazione non consente di concludere nulla che vada oltre l’uguaglianza osservata tra i valori confrontati.

Se i valori differiscono, la conclusione immediata è che il confronto non ha dato lo stesso risultato. Non attribuire automaticamente la differenza a una causa specifica: le istruzioni citate non spiegano perché possa verificarsi. Ricontrolla gli elementi della procedura e, se la differenza persiste, chiedi conferma alla fonte.

• Annota il nome del file, la versione e la provenienza del riferimento.
• Registra se i valori coincidevano oppure no.
• Non presentare una corrispondenza come autenticazione dell’origine o come garanzia dell’affidabilità del riferimento.

Organizzare file e versioni in Apification Cloud

Apification Cloud consente di gestire file e progetti in uno spazio organizzato e versionato, condividere elementi tramite link, utenti o gruppi e consultare la cronologia di un elemento. Consente inoltre di scaricare versioni precedenti e ripristinare contenuti. Queste funzioni possono aiutare a identificare quale versione fa parte di una consegna e a tenere insieme il file e le informazioni di tracciamento.

Per una verifica SHA-256, identifica prima la versione specifica che vuoi consegnare e il riferimento associato. Poi calcola e confronta i valori seguendo le istruzioni esterne indicate in questa guida. Le funzionalità verificate di Cloud non includono qui il calcolo né il confronto SHA-256: non sostituirli con un’azione di organizzazione o di consultazione della cronologia.

Quando documenti una consegna, registra quale versione hai condiviso, quale riferimento hai confrontato e qual è stato il risultato. In questo modo è chiaro quali elementi hai controllato, senza confondere la gestione delle versioni con il confronto dei valori né attribuire al risultato garanzie che non offre.

• Organizza e condividi file tramite Cloud.
• Se necessario, identifica la versione specifica consultando la cronologia.
• Calcola e confronta SHA-256 esternamente; registra quale file e quale riferimento hai confrontato.

Domande frequenti