Войти Начать
Бесплатный инструмент

Контрольная сумма файла

Подменённый файл выглядит как настоящий: то же имя, тот же размер, та же иконка. Отличить его можно только по контрольной сумме — короткому отпечатку содержимого. Перетащите файл, сравните сумму с той, что опубликовал автор: совпала — файл тот самый, не совпала — это другой файл.

Считается в браузере: файл никуда не загружается.

Перетащите файл сюда или

Файл читается в памяти вкладки. Считается SHA-256; SHA-1 и SHA-512 — по кнопке рядом с результатом.

Как проверить наши приложения

Рядом с каждой загрузкой на сайте лежит файл с эталонной суммой: 404vpn.apk.sha256, tunnel.apk.sha256 и 404vpn-macos.dmg.sha256. Откройте нужный, скопируйте строку в поле выше, перетащите скачанный файл — страница сама скажет, сошлось или нет.

Это же и ответ на вопрос «а не подсунули ли мне поддельный APK». Android не покажет разницы между нашим файлом и чужим с тем же именем, а сумма покажет.

Ограничение

Сумма считается по файлу целиком, а файл для этого целиком попадает в память вкладки. Несколько сотен мегабайт браузер переживает спокойно, образ на десятки гигабайт — нет. Для таких файлов надёжнее командная строка: shasum -a 256 файл в macOS и Linux, certutil -hashfile файл SHA256 в Windows.

Скачали наше приложение?

Сверьте сумму — и убедитесь, что у вас именно наш файл, а не чья-то пересборка с тем же именем.

Загрузки 404 VPN →

Частые вопросы

guest@404vpn:~$ cat file-hash-faq.md
[01] $ Зачем сверять сумму, если файл скачан с официального сайта? ▸
> Потому что между сайтом и вашим диском есть дорога: подменить файл может заражённый роутер, оператор с подстановкой рекламы, публичный Wi-Fi или зеркало, которое «просто быстрее качает». HTTPS от многого защищает, но не от случая, когда вы скачали файл с другого адреса, решив, что он тот же самый. Сумма отвечает на вопрос однозначно.
[02] $ Какая сумма правильная и где её взять? ▸
> У автора файла. Мы публикуем рядом с каждой нашей загрузкой файл с расширением .sha256 — в нём и лежит эталон. Важно: эталон надо брать с того источника, которому вы доверяете, а не из того же места, откуда скачали подозрительный файл. Иначе подделать можно и файл, и сумму рядом с ним.
[03] $ Сумма не совпала — что это значит? ▸
> Что это не тот файл. Причины бывают безобидные: скачали другую версию, загрузка оборвалась и файл неполный, архив пересобрали. Но проверять надо от обратного: пока сумма не сошлась, считайте файл посторонним и не запускайте.
[04] $ Почему SHA-256, а не MD5? ▸
> MD5 давно сломан: подобрать второй файл с той же суммой сегодня можно за минуты на обычном компьютере, и именно так подсовывают подделки. Для проверки подлинности он не годится. SHA-1 держится чуть лучше, но тоже считается негодным; мы даём его только для старых файлов, где другой суммы просто не опубликовано.
[05] $ Файл точно не уходит к вам? ▸
> Точно: страница читает его в памяти вкладки и считает сумму встроенным в браузер WebCrypto. Сетевых запросов при этом не происходит вообще — это видно во вкладке «Сеть» в инструментах разработчика. Отправлять файл на чужой сервер, чтобы проверить, не подменили ли его, было бы странной идеей.