Как проверить контрольные суммы файлов IMG и ISO: пошаговая инструкция для Windows, Linux и macOS

Проверка контрольной суммы — это способ убедиться, что скачанный образ диска (файл ISO или IMG) побитово совпадает с оригиналом. Принцип простой: издатель публикует эталонное значение хеша, вы вычисляете такое же значение у своего файла и сравниваете их. Совпало — файл цел; не совпало — загрузка прошла с ошибкой или файл был изменён, и использовать его нельзя. Ниже разобрано, как это сделать на Windows, Linux и macOS, какие алгоритмы выбирать и как действовать при несовпадении.

Зачем проверять хеш-сумму образа диска

Контрольная сумма (хеш) — это короткая строка фиксированной длины, которая вычисляется из содержимого файла по определённому алгоритму. Изменение хотя бы одного байта даёт совершенно другое значение, поэтому хеш работает как «отпечаток пальца» файла.

Для образов IMG и ISO проверка решает две задачи:

• Целостность. Большие файлы часто загружаются с обрывами, особенно через нестабильное соединение или торрент. Повреждённый образ может записаться на флешку, но система откажется устанавливаться или будет работать со сбоями — причину потом искать долго.
• Подлинность. Если хеш получен из доверенного источника по защищённому каналу, совпадение подтверждает, что файл не был подменён на промежуточном узле. Это особенно важно для установочных образов операционных систем и инструментов безопасности.

Важно понимать ограничение: сама по себе проверка хеша защищает только тогда, когда эталонное значение взято из надёжного места. Если злоумышленник подменил и файл, и опубликованный рядом с ним хеш, сравнение ничего не выявит. Поэтому эталон ищут на официальном сайте разработчика, а в идеале — по HTTPS или через отдельный канал (например, подпись GPG).

Какие алгоритмы использовать: MD5, SHA-1, SHA-256

Рядом с образом обычно публикуют одно или несколько значений с пометкой MD5, SHA-1 или SHA-256. Это названия алгоритмов, и они не равнозначны.

Алгоритм	Длина значения	Статус	Когда применять
MD5	32 символа	Криптографически устарел	Только базовая проверка целостности после загрузки, если другого варианта нет
SHA-1	40 символов	Устарел для задач защиты от подмены	Аналогично MD5, когда издатель публикует только его
SHA-256	64 символа	Актуальный стандарт	Основной выбор: и целостность, и защита от подмены
SHA-512	128 символов	Актуальный стандарт	Если предлагается издателем, не хуже SHA-256

Практическое правило: если доступно несколько значений, сверяйте SHA-256. MD5 и SHA-1 подходят лишь для того, чтобы поймать случайное повреждение при загрузке, но не подмену файла — против намеренного искажения они уже давно считаются уязвимыми.

Где найти эталонную сумму

Обычно издатель размещает её одним из способов:

• текстовый файл рядом со ссылкой на образ — с расширениями .md5, .sha256, .sha512sum или обычным .txt;
• страница загрузки, где значение указано прямо в описании релиза;
• отдельный раздел с подписанными файлами сумм (например, файл с расширением .sig или .asc — это уже криптографическая подпись, более сильная защита, чем голый хеш).

Если эталон найти не удалось вообще, это само по себе повод насторожиться: добросовестные проекты почти всегда публикуют суммы для установочных образов. В таком случае стоит поискать зеркало официального сайта или обратиться к документации проекта.

Проверка на Windows

Через PowerShell (встроенный способ)

Начиная с Windows 10, утилита Get-FileHash входит в систему, ничего дополнительно ставить не нужно.

1. Откройте PowerShell: нажмите Win+X и выберите пункт PowerShell или «Терминал».
2. Введите команду, подставив свой путь к файлу:

   Get-FileHash «C:\Users\Имя\Downloads\image.iso» -Algorithm SHA256

3. Дождитесь результата — для файла размером в несколько гигабайт вычисление может занять от нескольких секунд до пары минут.
4. Сравните полученную строку с эталонной. Регистр букв не важен: A1B2… и a1b2… означают одно и то же.

Чтобы не сравнивать длинные строки глазами, можно автоматизировать проверку:

(Get-FileHash «C:\путь\image.iso» -Algorithm SHA256).Hash -eq «ЭТАЛОННОЕ_ЗНАЧЕНИЕ»

Команда вернёт True при совпадении и False при расхождении.

Через командную строку

В классической консоли cmd работает встроенная утилита certutil:

certutil -hashfile «C:\путь\image.iso» SHA256

Она выводит хеш и заодно показывает размер файла, что удобно для первичной проверки.

Сторонние программы

Если работать с консолью неудобно, существуют графические утилиты для проверки хешей: 7-Zip (пункт «CRC SHA» в контекстном меню файла), HashTab (вкладка в свойствах файла), QuickHash и аналоги. Логика везде одинаковая: выбираете файл, выбираете алгоритм, получаете значение. При использовании сторонних программ скачивайте их только с сайтов разработчиков или из проверенных репозиториев — утилита для проверки целостности сама должна быть доверенной.

Проверка на Linux

В Linux всё уже установлено. Откройте терминал в папке с файлом и выполните:

sha256sum image.iso

Команда выведет сумму и имя файла. Для других алгоритмов есть аналогичные команды: md5sum, sha1sum, sha512sum.

Если издатель предоставил файл с суммами (например, image.iso.sha256), проверка выполняется одной командой:

sha256sum -c image.iso.sha256

Утилита сама найдёт файл, посчитает хеш и сообщит «OK» или «FAILED». Если файл с суммами лежит в другой папке, запустите команду из каталога, где находится сам образ, либо укажите путь в параметрах.

Полезный приём для больших файлов: добавьте ключ прогресса, чтобы видеть скорость чтения — sha256sum image.iso | pv (при установленном pv). Без него команда может выглядеть «зависшей», хотя просто читает многогигабайтный файл.

Проверка на macOS

На Mac используется команда shasum в Терминале:

shasum -a 256 /Users/имя/Downloads/image.iso

Флаг -a 256 задаёт алгоритм SHA-256; без него по умолчанию считается SHA-1. Для MD5 есть отдельная команда md5, для SHA-512 — shasum -a 512.

Сравнить результат с эталоном удобно так же, как в Linux: скопируйте ожидаемое значение, вставьте в заметку и сверьте визуально либо используйте сравнение строк средствами системы.

Как правильно сравнивать значения

Даже опытные пользователи иногда допускают ошибки на этом шаге:

• Сверяйте всю строку целиком. Хеш из 64 символов нельзя оценивать «по началу и концу» — середина может отличаться.
• Игнорируйте регистр. Заглавные и строчные буквы обозначают одни и те же шестнадцатеричные цифры.
• Учитывайте формат файла с суммами. В таких файлах значение часто идёт вместе с именем файла и звёздочкой, обозначающей бинарный режим (например, «abc123 *image.iso»). Сравнивать нужно именно хеш, а не всю строку.
• Проверяйте тот же самый файл. Если вы переименовали образ или докачивали его частями, убедитесь, что считаете хеш финальной версии, а не старой копии.

Что делать, если сумма не совпала

Несовпадение означает, что файл отличается от оригинала. Дальнейшие действия зависят от ситуации:

1. Перекачайте файл заново, желательно из другого источника или зеркала. Случайное повреждение при загрузке — самая частая причина расхождения.
2. Проверьте ещё раз перед удалением копии. Убедитесь, что сравнивали правильный алгоритм и правильный файл, а эталон скопирован полностью.
3. Если повторное скачивание снова даёт другой хеш, проблема может быть на стороне источника или канала передачи. Попробуйте другое зеркало, проводное соединение вместо Wi-Fi, другой браузер или менеджер загрузок.
4. Если хеш стабильно не совпадает у всех источников, а эталон взят с официального сайта, уточните дату публикации: возможно, вы сверяетесь с суммой предыдущей версии образа. Также проверьте, что эталон относится к той же редакции и разрядности файла.
5. Не записывайте подозрительный образ на носитель и не запускайте его, пока вопрос не решён. Расхождение хеша само по себе не доказывает вредоносность, но исключать подмену нельзя.

Типичные ошибки при проверке

• Взять эталон из непроверенного источника. Значение, найденное на форуме или в стороннем блоге, не гарантирует подлинность. Ориентируйтесь на сайт разработчика дистрибутива.
• Перепутать алгоритм. Сравнение SHA-256 вашего файла с MD5-эталоном всегда даст «несовпадение», хотя файл может быть целым. Алгоритм в команде должен соответствовать тому, которым считали эталон.
• Считать хеш частично скачанного файла. Проверка имеет смысл только после полного завершения загрузки.
• Использовать архивную копию вместо исходного файла. Хеш нужно считать у самого образа, а не у zip-архива, в котором он распространяется, — если издатель публикует сумму именно архива, то наоборот.
• Паниковать из-за одного несовпадения без перепроверки. Прежде чем делать выводы о подмене, исключите банальные причины: обрыв загрузки, неверный алгоритм, чужая версия файла.

Когда проверка особенно важна

Не для каждого файла имеет смысл тратить время, но для некоторых сценариев проверка хеша — обязательный этап подготовки:

• установочные образы операционных систем и серверного ПО;
• образы инструментов восстановления, антивирусных дисков и средств диагностики;
• файлы, полученные через торренты или с зеркал, а не напрямую от разработчика;
• образы, которые будут использоваться на критичных машинах — рабочих станциях с важными данными, серверах, оборудовании без резервных копий;
• любые случаи, когда файл скачан в дороге, через публичный Wi-Fi или посредника.

Для небольшого документа или картинки проверка обычно избыточна, но для многогигабайтного образа, который пойдёт на установочный носитель, две минуты на команду экономят часы поиска причин сбоя установки.

Краткий порядок действий

1. Скачайте образ полностью и найдите на официальном сайте эталонную сумму, предпочтительно SHA-256.
2. Вычислите хеш своего файла: Get-FileHash или certutil в Windows, sha256sum в Linux, shasum -a 256 в macOS.
3. Сравните значения целиком, не обращая внимания на регистр.
4. При совпадении используйте образ как планировали; при расхождении перекачайте файл и перепроверьте.
5. Если проект публикует криптографические подписи (GPG), они дают более сильную защиту, чем простой хеш, — при возможности проверяйте именно их.

Главный принцип: доверяйте не факту загрузки, а результату проверки. Совпадение контрольной суммы с эталоном из надёжного источника — минимальная разумная гарантия того, что образ целый и подлинный, и именно её стоит сделать привычным шагом перед записью любого установочного носителя.