檔案SHA校驗

檔案摘要是內容的指紋

SHA（安全雜湊演算法）會把檔案中的位元組轉成固定長度的摘要。檔名不參與運算；同一份位元組內容使用同一演算法，會得到相同摘要。若檔案內容改變，摘要通常也會不同，因此可拿來核對下載或傳輸後的完整性。這個頁面在目前瀏覽器中讀取一個檔案，可選擇 SHA-1、SHA-256、SHA-384、SHA-512，並顯示各自結果、檔名、檔案大小和計算進度。計算不需要提供檔案之外的資料來源或參考資料。

摘要長度是辨認演算法的簡單線索：SHA-1 為 160 位元（40 個十六進位字元）；SHA-256 為 256 位元（64 字元）；SHA-384 為 384 位元（96 字元）；SHA-512 為 512 位元（128 字元）。

摘要一致代表什麼

把計算結果與發布者透過可信管道公布的同演算法摘要逐字比對。完全一致，可作為兩份輸入內容一致的完整性線索；不一致則要先確認檔案版本、下載是否完整、演算法是否相同，以及參考摘要有沒有抄錯。SHA 摘要本身沒有秘密金鑰，因此單靠摘要不能證明發布者身分、檔案無害，或公布摘要的頁面可信。NIST 的 FIPS 180-4 說明摘要可用於偵測訊息是否改變；它不是檔案安全掃描或數位簽章的替代品。

計算並核對下載檔案

1. 確認參考值的算法

   先看發布者標示的是 SHA-256 或其他哪一種 SHA。演算法必須一致，不能因為字串長度看起來相近就互換。

2. 選擇單一檔案

   點選上傳區或拖曳檔案；一次處理一個，大小上限為 100 MB。超過上限的檔案無法在此頁計算。

3. 勾選需要的算法

   SHA-1、SHA-256、SHA-384、SHA-512 預設全選。點選按鈕可切換選取狀態；至少保留一種算法，再開始選檔。

4. 等待完成並複製結果

   處理時會顯示進度。完成後找到與參考值同名的算法，使用該列的複製按鈕複製完整摘要。

5. 人工逐字比較

   將完整結果與可信來源的參考值比較。若不同，核對產品版本、作業系統或架構、下載來源和算法標籤，再重新下載及計算；不要只比對前幾碼。

計算和比對時常見疑問

使用範圍與安全界線

摘要相同只能作為位元組內容完整性核對線索，不能單獨證明檔案由誰發布、沒有惡意程式，或來源網站可信。

• 目前單次只處理一個檔案，大小上限為 100 MB；大型檔案應改用適合的本機校驗方式。
• 頁面在目前瀏覽器中讀取檔案並計算摘要。處理敏感文件仍須遵守裝置與組織的資料管理規範。
• 新的安全用途不要把 SHA-1 當成首選。NIST 的過渡時程適用於其標準與政策範圍；此處不把它解讀成台灣法規要求。
• 核對參考摘要時，來源應可信且最好與下載檔案來源相互獨立。若檔案和摘要都來自同一個遭竄改的位置，兩者一致也不足以證明真實性。