Değiştirilmiş dosya gerçeğine tıpatıp benzer: aynı ad, aynı boyut, aynı simge. İkisini ayırmanın tek yolu sağlama toplamı (içeriğin kısa parmak izi: bir bayt değişse bütün parmak izi değişir). İndirdiğiniz dosyanın toplamı, yazarın yayımladığıyla aynıysa o dosya aynı dosyadır.

Değilse başka bir dosyadır ve çalıştırılmaz. Aşağıda değiştirmenin nereden geldiğini, toplamı bir saniyede nasıl hesaplayacağınızı ve denetimin bir anlamı olsun diye referansı nereden alacağınızı anlatıyoruz.

  TOPLAM NEDEN KARŞILAŞTIRILIR

  yazardaki dosya   SHA-256: a3f9…
  sizdeki dosya     SHA-256: a3f9…   aynı
  sizdeki dosya     SHA-256: 71c0…   başka
     └─ ad ve boyut aynı olabilir,
        toplam olamaz

Hash nedir, en basit hâliyle

Herhangi bir dosyayı alın, isterseniz bir gigabaytlık, ve bir formülden geçirin. Çıktı her zaman 64 karakterdir ve aynı dosya için her zaman aynı 64 karakter. Dosyada bir bayt değiştirin, 64 karakterin hepsi eskisiyle hiçbir ilgisi olmadan değişir. Bu karakterlerden dosyayı geri kuramazsınız, ancak iki dosyayı dosyaların kendisini karşılaştırmadan bir saniyede bunlarla karşılaştırabilirsiniz.

İşte hash bu; sağlama toplamı da, parmak izi de deniyor. Yazar kendi dosyasından hesaplar ve yayımlar. Siz kendinizden hesaplar ve karşılaştırırsınız. Aynıysa dosyalar son bayta kadar aynıdır. Formül açık ve herkes için tek; bu yüzden Windows'ta hesaplanan toplam, Mac'te ya da tarayıcıda hesaplananla karşılaştırılabilir.

Değiştirme nereden gelir

Site ile diskiniz arasında bir yol var ve dosya o yolda değiştirilebilir. «Daha hızlı indiren» bir yansı. Oteldeki virüslü modem. Şifresiz sayfalara kendi reklamını sokan operatör. Ortasında birinin oturduğu halka açık Wi-Fi. Ve en yaygın durum: dosyayı resmî siteden değil, «aynı şeyin olduğu başka bir adresten» indirdiniz, aynı şey sanarak.

HTTPS bunların çoğuna karşı korur, ancak sonuncusuna değil. Başkasının sitesine kendiniz gidip başkasının dosyasını kendiniz indirdiyseniz şifreli kanal size sahteyi dürüstçe teslim etmiştir. Toplam soruya kesin cevap verir: bu, yazarın çıkardığı dosya mı, değil mi.

VPN uygulamaları için bu ayrıca önemli. Bütün trafiğinize yetki alacak bir dosyayı kurduktan sonra değil, kurmadan önce denetlemeye değer. Mağaza dışından APK'nın neden ayrı bir risk olduğu Android'de VPN nasıl kurulur yazısında.

Toplam nasıl hesaplanır

Dosya sağlama toplamı sayfasını açın ve dosyayı sürükleyin. SHA-256 (standart parmak izi algoritması, 64 karakter) hesaplanır; yazar onları yayımladıysa SHA-1, SHA-512 ve MD5 bir tık ötede. Dosya hiçbir yere yüklenmez: sekmenin belleğinde okunur ve bu sırada ağ isteği gitmez; bunu tarayıcının geliştirici araçlarındaki «Ağ» sekmesinden denetleyebilirsiniz.

Elinizde referans toplam varsa yandaki alana yapıştırın: sayfa «aynı» ya da «farklı» der, 64 karakteri gözle karşılaştırmanız gerekmez.

Tarayıcısız da olur, bilgisayardaysanız:

Windows:  certutil -hashfile dosya SHA256
macOS:    shasum -a 256 dosya
Linux:    sha256sum dosya

Sonuç her sistemde aynı. Bütün mesele bu: toplam içeriğe bağlıdır, kimin neyle hesapladığına değil.

Referans nereden alınır

İnsanların en çok yanıldığı yer burası. Referans toplam, güvendiğiniz kaynaktan alınmalı; şüpheli dosyayı aldığınız yerden değil. Dosya yansıda değiştirildiyse yanındaki toplam da değiştirilmiştir ve ikisi «uyuşur». Denetimin o zaman hiçbir anlamı kalmaz.

Doğrusu şöyle: dosya nereden olursa olsun, toplam yazarın resmî sitesinden. Biz her indirmemizin yanında .sha256 uzantılı bir dosya yayımlıyoruz: 404vpn.apk.sha256, 404vpn-macos.dmg.sha256, tunnel.apk.sha256. Referans onun içinde. Uygulamayı herhangi bir yansıdan indirdiniz, toplamı indirme sayfasından aldınız, karşılaştırdınız.

  TOPLAM NEREDEN

  dosya ve toplam yansıdan       ✗ boş
  dosya yansıdan, toplam yazardan ✓ denetim
  dosya ve toplam yazardan       ✓ denetim
     └─ dosya yazardan değilse
        toplam ondan olmalı

Toplam uyuşmadı: ne demek

O dosyanın aynı dosya olmadığı demek. Nedenler zararsız da olur, değil de; ayırmak kolay.

Zararsız. Başka bir sürüm indirdiniz: yazar dosyayı güncelledi, sayfadaki toplamı henüz güncellemedi ya da tersi. İndirme tamamlanmadı. Tarayıcı arşivi anında açtı. Bunların hepsinde resmî siteden yeniden indirmek uyuşma verir.

Zararsız değil. Aynı yerden yeniden indirdiniz, toplam yazarınkiyle yine uyuşmuyor, yazarın kendi sitesindeki dosya ise uyuşuyor. Demek ki o yerde başka bir dosya duruyor. İçinde ne olduğunu öğrenemezsiniz ve öğrenmeniz de gerekmez: çalıştırmadan silin.

Basit kural: uyuşmazlık «bir daha gözle bak» değil, «uyuşana kadar çalıştırma» demek.

Toplamın denetlemediği şey

Toplam, dosyanın yazar referansı hesapladığından beri değişmediğini doğrular. Yazarın dürüst olduğunu söylemez, dosyada hata olmadığını da söylemez. Yazara güveniyorsanız toplam, onun dosyasını aldığınızı garanti eder. Güvenmiyorsanız toplam yardım etmez: boşuna güvendiğiniz birinin çıkardığı zararlı dosyanın gerçekliğini aynı kesinlikle doğrular.

Ve toplam imzanın yerini tutmaz. İmza ayrıca «bunu kim çıkardı» sorusuna cevap verir; toplam yalnızca «aynı şey mi, değil mi» sorusuna. İndirilen uygulama için, toplam güvendiğiniz bir siteden alındığı sürece bu genellikle yeter.

Açıkçası ben olsam her şeyi denetlemezdim. Üç kategoriyi denetlerdim: geniş yetki alan uygulamalar (VPN, antivirüs, sisteme erişen her şey), yansıdan ve torrentten gelen dosyalar ve tanımadığım birinin linkinden gelen her şey. Bir saniye sürer, çok şey kurtarabilir.

  NE ZAMAN ŞART

  [ ] geniş yetkili uygulama
  [ ] yansıdan ya da torrentten dosya
  [ ] tanımadığınız birinden dosya
  [ ] toplam, dosyanın geldiği yerden DEĞİL
      └─ son madde ilk üçüne
         anlam kazandırır

Toplam uyuşmadı ve nedenin zararsız olup olmadığını anlayamıyorsanız yapay zekâya iki toplamı ve dosyanın hikâyesini verin.

Yapay zekâ için komut
Dosyanın sağlama toplamının neden uyuşmadığını
anlamama yardım et.

Dosya: (ne, nereden indirildi).
Referans nereden: (yazarın sitesinden / dosyanın
yanından / bilmiyorum).
Benim toplamım: (yapıştır). Referans: (yapıştır).
Yeniden indirdim: (evet, toplam aynı / hayır).

Bu başka sürüme ya da eksik indirmeye mi
benziyor, yoksa değiştirmeye mi; sonra ne
yapmalıyım, söyle. Dosyayı çalıştırmamı önerme.

Kısaca

Ad ve boyut taklit edilir, toplam edilmez. Dosyayı sürüklediniz, SHA-256'yı aldınız, yazarın sitesindeki referansla karşılaştırdınız. Uyuştuysa dosya aynı dosya. Uyuşmadıysa çalıştırmayın. En büyük hata: referansı, şüpheli dosyanın geldiği yerden almak; o zaman denetim hiçbir şey ifade etmez.