Vérifier une empreinte SHA-256 sous Windows

Ce qu’une empreinte prouve, et ce qu’elle ne prouve pas

Une empreinte SHA-256 est une signature de longueur fixe calculée sur les octets d’un fichier. Si le téléchargement a été corrompu en route, l’empreinte change et la comparaison échoue. Pour la méthode générale, voir vérifier l’intégrité d’un fichier avec SHA-256. Le flux général hors Windows est décrit dans vérifier l’intégrité d’un fichier avec SHA-256.

Elle ne prouve pas qui a publié le fichier. Un attaquant qui peut remplacer le téléchargement peut généralement remplacer l’empreinte sur la même page. Pour cela, il faut une signature ou un canal de confiance.

Utilisez les empreintes contre la corruption et les manipulations simples ; utilisez Authenticode ou une signature détachée quand vous devez vérifier l’éditeur.

La méthode PowerShell : Get-FileHash

1. Ouvrez PowerShell. Windows PowerShell 5.1 et PowerShell 7 incluent la commande.
2. Exécutez : Get-FileHash .\installer.exe -Algorithm SHA256
3. Copiez la valeur Hash. Comparez-la à celle de l’éditeur ; la casse n’a pas d’importance, mais chaque caractère compte.
4. Pour un test rapide : (Get-FileHash .\installer.exe -Algorithm SHA256).Hash -eq 'COLLER_LE_HASH_ATTENDU'

Lire le format d’empreinte de l’éditeur

Les éditeurs utilisent trois formes courantes : une empreinte hexadécimale nue de 64 caractères, une ligne comme <hash> installer.exe, ou un fichier .sha256 contenant une ou plusieurs de ces lignes.

Le double espace entre l’empreinte et le nom de fichier est volontaire au format coreutils ; un seul espace est aussi courant. Supprimez les espaces et comparez uniquement l’empreinte. Pour les images ISO, voir vérifier les sommes des ISO téléchargés.

• Empreinte nue : comparez 64 caractères hexadécimaux, sans tenir compte de la casse.
• SHA256SUMS : trouvez la ligne du nom de fichier exact, puis comparez son premier champ.
• Fichier .sha256 : le premier champ est l’empreinte, le reste est le nom de fichier.

Comparer sans se tromper soi-même

La plupart des faux écarts sont des erreurs de copie : empreinte tronquée, caractère manquant, retour à la ligne ou mauvais algorithme. Normalisez avant de conclure que le fichier est mauvais.

• Supprimez les espaces et les retours à la ligne des deux valeurs.
• Comparez minuscules avec minuscules ; l’hexadécimal ignore la casse.
• Vérifiez que les deux côtés sont en SHA-256, pas SHA-1 ou MD5.
• Vérifiez que l’empreinte attendue correspond à cette version et à ce nom de fichier exacts.

La solution de repli : certutil

Sur les anciennes versions de Windows, certutil -hashfile .\installer.exe SHA256 affiche l’empreinte. Cela fonctionne, mais la sortie contient des libellés et des retours à la ligne, ce qui favorise les erreurs de lecture.

Préférez Get-FileHash dans les scripts ; la commande renvoie un objet avec une propriété Hash directement comparable.

Si l’empreinte correspond, avez-vous terminé ?

Une empreinte qui correspond signifie que les octets correspondent à celle de l’éditeur. Cela ne signifie pas que l’éditeur est fiable, que le fichier est exempt de malware ou que la version est celle que vous vouliez installer.

Pour un logiciel Windows signé, exécutez aussi Get-AuthenticodeSignature .\installer.exe et vérifiez le statut et le signataire. Pour un projet open source, comparez l’empreinte via un second canal quand l’enjeu est important. Les images ISO suivent les mêmes étapes, avec les contrôles propres à l’éditeur dans vérifier les sommes de contrôle des ISO.

Si l’empreinte ne correspond pas, supprimez le téléchargement et récupérez-le depuis la source officielle. Ne réparez pas l’empreinte et n’ignorez pas un écart parce que le fichier s’ouvre encore.

FAQ

Références

• Microsoft Learn - Get-FileHash : https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.utility/get-filehash
• NIST FIPS 180-4 - Secure Hash Standard : https://csrc.nist.gov/pubs/fips/180-4/upd1/final
• RFC 6234 - US Secure Hash Algorithms : https://www.rfc-editor.org/rfc/rfc6234
• Microsoft Learn - Get-AuthenticodeSignature : https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.security/get-authenticodesignature