Как отправить дистрибутив и контрольную сумму получателю

Правильная передача программного дистрибутива обычно состоит не только из отправки самого файла.
Надёжный процесс включает два элемента: сам дистрибутив и контрольную сумму (хеш), по которой получатель
сможет проверить, что получил именно тот файл, который был подготовлен отправителем.

Общий порядок выглядит так: подготовить финальную версию файла, вычислить для неё контрольную сумму,
передать дистрибутив и значение хеша через выбранный канал, а затем попросить получателя самостоятельно
проверить совпадение. Такой подход помогает обнаружить повреждение файла, ошибки передачи и случайную
замену другой версией. Проверка хеша подтверждает соответствие содержимого файла опубликованному образцу,
но сама по себе не заменяет механизм цифровой подписи, если требуется доказать источник происхождения ПО.

Что такое дистрибутив и контрольная сумма

Дистрибутив — это комплект файлов, предназначенный для установки или распространения программного
обеспечения. В зависимости от типа продукта это может быть установщик Windows, архив с программой,
пакет Linux, образ диска ISO, мобильное приложение или набор файлов обновления.

В состав дистрибутива могут входить:

• исполняемый файл установщика;
• библиотеки и дополнительные компоненты;
• конфигурационные файлы;
• документация и инструкции;
• файлы лицензии;
• описание версии и изменений.

Контрольная сумма — это результат обработки файла специальным алгоритмом хеширования. На выходе
получается строка фиксированной длины, которая служит цифровым отпечатком содержимого. Если файл
изменился хотя бы на один байт, рассчитанное значение обычно изменяется.

Контрольная сумма отличается от имени файла и его размера. Например, два файла могут называться
одинаково и иметь одинаковый объём, но содержать разные данные. Только сравнение хеша позволяет
проверить соответствие содержимого конкретному эталону.

Почему недостаточно просто отправить файл

Простая отправка установщика по почте, через облако или ссылкой на скачивание не даёт получателю
полной информации о том, что именно он получил. Даже если файл открывается без ошибок, это не всегда
означает, что он является правильной версией.

При передаче могут возникнуть следующие проблемы:

• Повреждение файла. Ошибка при загрузке или копировании может изменить содержимое.
• Неполная загрузка. Большой архив или установщик может быть скачан не полностью.
• Использование неправильной версии. Получатель может открыть старый релиз вместо нового.
• Подмена файла. Если канал распространения скомпрометирован, ссылка может вести на другой объект.
• Ошибки при массовом распространении. При публикации ПО для большого числа пользователей важно иметь единый способ проверки релиза.

Поэтому профессиональная схема распространения выглядит так:

Дистрибутив + контрольная сумма + инструкция проверки

Какие алгоритмы контрольных сумм используют

Для вычисления хеша существует несколько алгоритмов. Они отличаются длиной результата и уровнем
криптографической стойкости.

MD5

MD5 создаёт хеш длиной 128 бит. Этот алгоритм долгое время использовался для проверки файлов,
но сегодня считается устаревшим для задач, где требуется защита от намеренной подмены.

MD5 всё ещё можно встретить в старых архивах, зеркалах загрузки и внутренних процессах, где требуется
только обнаружить случайное повреждение файла, а не подтвердить безопасность или происхождение программы.

SHA-1

SHA-1 создаёт значение длиной 160 бит. Как и MD5, он широко применялся раньше, но для новых проектов
обычно не используется в качестве основного алгоритма проверки безопасности из-за известных
криптографических ограничений.

SHA-256

SHA-256 относится к семейству SHA-2 и создаёт хеш длиной 256 бит. Сегодня это один из самых
распространённых вариантов для проверки программных релизов, архивов и установщиков.

Многие проекты публикуют рядом с файлами значения SHA-256, чтобы пользователи могли самостоятельно
сравнить скачанный файл с оригиналом.

SHA-512

SHA-512 создаёт более длинный хеш — 512 бит. Он применяется в системах, где требуется использовать
более длинные дайджесты или где это предусмотрено политикой безопасности.

Для обычной передачи установщика или релиза чаще всего достаточно SHA-256, а SHA-512 может
использоваться как дополнительный вариант проверки.

Как подготовить дистрибутив к отправке

Шаг 1. Проверить финальный файл

Перед созданием контрольной суммы убедитесь, что дистрибутив уже является окончательной версией.
Не стоит сначала рассчитывать хеш, а затем менять содержимое файла: любое изменение сделает
опубликованную сумму неверной.

Проверьте:

• номер версии;
• архитектуру системы (например, x64 или ARM);
• наличие всех необходимых компонентов;
• размер файла;
• корректность имени файла.

Шаг 2. Создать архив при необходимости

Если программа состоит из нескольких файлов, удобнее собрать их в один архив ZIP, TAR.GZ или другой
подходящий формат. Контрольную сумму нужно считать именно для итогового архива, который получит
пользователь.

Шаг 3. Создать контрольную сумму

После завершения подготовки вычислите хеш и сохраните его вместе с информацией о версии.

Например:

Файл:
my-program-1.0.0.zip

Алгоритм:
SHA-256

Контрольная сумма:
0123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef
  

Шаг 4. Подготовить инструкцию для получателя

Не отправляйте только длинную строку символов. Получателю нужно объяснить:

• какой файл проверять;
• какой алгоритм использовать;
• какое значение должно получиться;
• что делать при несовпадении.

Шаг 5. Разместить файл и хеш рядом

При публикации через сайт, FTP, GitHub Releases или облачное хранилище удобно размещать контрольную
сумму рядом с файлом загрузки. Пользователь сразу получает и программу, и способ проверки.

Как создать контрольную сумму

Windows

В Windows можно использовать встроенную команду certutil:

certutil -hashfile my-program-1.0.0.zip SHA256
  

Команда читает содержимое указанного файла и выводит его SHA-256 хеш.

В PowerShell аналогичную задачу выполняет:

Get-FileHash .\my-program-1.0.0.zip -Algorithm SHA256
  

Linux

В Linux чаще всего используется утилита sha256sum:

sha256sum my-program-1.0.0.zip
  

Если есть файл со списком контрольных сумм, можно выполнить массовую проверку:

sha256sum -c SHA256SUMS
  

macOS

В macOS для SHA-256 обычно применяется команда:

shasum -a 256 my-program-1.0.0.zip
  

Эти команды работают одинаково по смыслу: они получают содержимое файла и вычисляют его цифровой
отпечаток.

Как отправить дистрибутив и хеш получателю

Электронная почта

Подходит для небольших файлов. В письме укажите:

• название файла;
• версию программы;
• размер файла;
• алгоритм хеширования;
• контрольную сумму.

Облачное хранилище

Для крупных файлов удобнее отправлять ссылку на скачивание. Контрольную сумму можно разместить:

• в описании файла;
• в отдельном текстовом файле;
• на странице релиза.

FTP или внутренний сервер

Такой вариант часто используется внутри компаний. В этом случае полезно хранить рядом:

release.zip
release.zip.sha256
release-notes.txt
  

GitHub Releases и аналогичные платформы

Для открытых проектов контрольные суммы обычно публикуют вместе с бинарными файлами релиза.
Пользователь скачивает файл, рассчитывает хеш и сравнивает результат с опубликованным значением.

Как получатель проверяет полученный файл

1. Скачайте файл полностью.
2. Получите контрольную сумму из доверенного источника.
3. Рассчитайте хеш скачанного файла.
4. Сравните результаты посимвольно.

Например, если отправитель указал SHA-256 для файла setup.exe, получатель должен вычислить
SHA-256 именно для этого файла, а не для распакованной папки или другого экземпляра программы.

Совпадение означает, что содержимое файла соответствует опубликованному хешу. Если значения отличаются,
файл нельзя считать проверенным: его следует скачать заново или запросить новый экземпляр у отправителя.

Типичные ошибки при передаче программного обеспечения

• Создание хеша до завершения сборки. Любое последующее изменение нарушает проверку.
• Передача только хеша без указания алгоритма. SHA-256 и SHA-512 дают разные строки.
• Проверка не того файла. Например, хеш считают для архива, а проверяют распакованную папку.
• Использование старых алгоритмов без необходимости. MD5 и SHA-1 могут быть недостаточны для задач, связанных с подлинностью.
• Размещение файла и хеша в одном ненадёжном месте. Если злоумышленник может заменить оба объекта, простая проверка хеша не решит проблему.

Как организовать безопасный процесс передачи файлов

Для регулярного распространения программного обеспечения лучше создать формальный процесс релиза.

Практический вариант:

1. Собрать финальный дистрибутив.
2. Проверить его в автоматической сборке или CI/CD.
3. Создать SHA-256 или SHA-512 контрольную сумму.
4. Опубликовать файл, хеш и описание версии.
5. Хранить информацию о релизах в системе контроля версий или архиве.
6. При повышенных требованиях использовать цифровую подпись программного обеспечения.

Контрольная сумма — это простой и эффективный способ проверить целостность переданного файла.
Для большинства сценариев распространения ПО достаточно схемы «дистрибутив + SHA-256 + инструкция
проверки». Такой подход делает передачу программ более предсказуемой и позволяет получателю
самостоятельно убедиться, что он получил именно подготовленный релиз.