Güvenli İndirme için MD5 ve SHA ile Dosya Doğrulama

Bir dosyanın bilgisayarınıza indirilmesi, dosyanın güvenli olduğunu kanıtlamaz. İnternetten güvenli indirme yapmak için dosya doğrulama (MD5/SHA) yöntemleri, indirilen içeriğin üretici tarafından belirtilen özet değerle aynı olup olmadığını gösterir. Bu eşleşme, bozulma ve bazı değiştirme risklerini erken fark etmeyi sağlar.

Kontrol yalnızca kopyanın belirli bir karakter dizisine benzediğini gösterir; dosyanın zararsız olduğunu tek başına kanıtlamaz. Güvenli sonuç için resmî kaynak, doğru sürüm, geçerli özet ve uygun güvenlik taraması birlikte değerlendirilmelidir.

Dosya özeti nasıl çalışır?

Dosya özeti, bir algoritmanın içerikten ürettiği sabit uzunluklu bir parmak izidir. Aynı veri aynı algoritmayla her zaman aynı sonucu verir; dosyada tek bir bayt değiştiğinde sonuç büyük ölçüde değişir. Bu özellik, indirme sırasında oluşan bozulmaları fark etmeyi kolaylaştırır.

Özet değeri karşılaştırması, ancak referans değer güvenilir bir kaynaktan geliyorsa anlamlıdır. Kötü niyetli bir site hem dosyayı hem de sayfada gösterilen özeti değiştirebilir. Bu nedenle beklenen değer, dosyayı sunan kişiden bağımsız bir kanaldan alınmalıdır.

Özet şifreleme değildir ve kimliği doğrulamaz. İçeriğin gerçekten üreticiye ait olduğunu güçlü biçimde göstermek için dijital imzaları, imzalı paketleri veya doğrulanmış yayın manifestlerini de kontrol etmek gerekir.

Beklenen özeti güvenilir kaynaktan bulmak

Önce dosyanın resmî web sitesini, geliştiricinin güvenilir paket deposunu veya sürüm duyurusunu açın. SHA-256 değeri genellikle “checksum”, “hashes” veya “sürüm notları” başlıklarıyla yayımlanır. Sayfa adresinin doğru HTTPS alan adını kullandığını ve beklenen dosya adı ile sürümü içerdiğini ayrıca kontrol edin.

Dosya bağlantısı ücretsiz kaynaklar gibi bir üçüncü taraf sayfada bulunabilir; ancak özet değerini yine de geliştiricinin kendi kanalından doğrulamak gerekir. Arama motorunda gördüğünüz veya başka bir kullanıcının paylaştığı özet, referans olarak kullanılmamalıdır.

Birden fazla algoritma yayımlanmışsa SHA-256 değerini saklayın. İmzalı bir özet listesi varsa imzayı da doğrulayın. Mobil uygulamalarda özet bulunamıyorsa resmî uygulama mağazasındaki geliştirici hesabını, uygulamanın imzasını ve sürüm geçmişini kontrol etmek daha uygundur.

MD5 ve SHA-256 arasındaki fark

MD5, eski sistemlerde hızlı çalışan ve yaygın kullanılan 128 bitlik bir özet algoritmasıdır. Ancak çakışma saldırılarına karşı güvenliği zayıftır. İki farklı dosyanın aynı MD5 değerini üretmesi teorik olarak mümkündür; bu nedenle MD5, günümüzde güvenlik amacıyla tercih edilmemelidir.

SHA-256 ise 256 bitlik çıktı üretir ve bilinen pratik çakışma saldırılarına karşı çok daha güçlüdür. Yeni indirmelerde beklenen ve hesaplanan değerler SHA-256 olarak alınmalıdır. SHA-1 de eski olduğundan, mevcut bir dosyayı doğrulamak zorunda kalsanız bile daha güçlü bir seçenek aranmalıdır.

Yalnızca MD5 değerine sahip eski bir dosyada eşleşme, aktarım bütünlüğüne ilişkin sınırlı bir işaret verir. HTTPS bağlantısı, yayıncı imzası ve güvenlik taramasıyla birlikte değerlendirilmelidir. Özet doğrulaması, kötü amaçlı yazılımı meşru bir yayın içinde tespit etmez.

Windows'ta özet değeri hesaplamak

Windows’ta PowerShell, SHA-256 özetini doğrudan hesaplar. Dosyayı indirme klasöründe bırakıp aşağıdaki komutu çalıştırın; yolun kendi dosya konumunuzla eşleşmesi gerekir:

Get-FileHash -Algorithm SHA256 "C:\Downloads\ornek.zip"

Çıktıdaki uzun onaltılık değeri, geliştiricinin yayımladığı beklenen değerle karakter karakter karşılaştırın. Harf büyüklüğü sonucu değiştirmez, ancak kısaltmalar ve yazım hataları eşleşmeyi bozar.

PowerShell kullanmıyorsa Windows’un yerleşik certutil aracı da aynı işlevi görür:

certutil -hashfile "C:\Downloads\ornek.zip" SHA256

Linux için sha256sum dosya, macOS için shasum -a 256 dosya komutları kullanılabilir. Mobil cihazda özet doğrulama seçeneği bulunmuyorsa dosyayı masaüstüne aktarın; uygulamayı yine de resmî mağazadan kurun.

İndirme öncesi ve sonrası kontrol

İndir Tık gibi arşivlerde indirme bağlantısını açmadan önce kaynağın resmî alan adını, dosya sürümünü, işletim sistemi mimarisini ve önerilen boyutu kontrol edin. Reklamla gizlenmiş indirme düğmelerinden, kısa bağlantılardan ve son anda görünen farklı sunuculardan kaçının.

Medya dosyalarında video ve ses bölümü biçim ve platform seçiminde yol gösterici olabilir; indirilen paketin özetini yine de içeriği yayımlayan kaynağın belirttiği SHA-256 değeriyle karşılaştırın. Dosya türünün beklediğiniz programla uyuşmaması da ek bir uyarı işaretidir.

Özet eşleşmiyorsa dosyayı çalıştırmayın veya açmayın. Dosyayı karantinaya alıp silin, resmî kaynaktan yeniden indirin ve yeni kopyayı yeniden doğrulayın. Hash doğru olsa bile makro, betik veya çalıştırılabilir dosya içeren paketlerde ek güvenlik kontrolleri gerekir.

Güvenli indirme için öneriler

Aşağıdaki adımlar, özet kontrolünü tek başına bırakmayan bir güvenlik sırası oluşturur:

• Dosyayı yalnızca üreticinin resmî sitesinden veya doğrulanmış paket deposundan indirin.
• Mümkün olan her durumda SHA-256 değerini kullanın; MD5 eşleşmesini güvenlik kanıtı saymayın.
• Beklenen özeti dosya sayfasından değil, bağımsız ve resmî bir yayın kanalından alın.
• Sürüm, dosya adı, mimari ve dosya boyutunu indirmeden önce karşılaştırın.
• Arşivi açmadan önce tarayın; açılan dosyaları da ayrıca kontrol edin.
• Eşleşmeyen veya kimliği belirsiz dosyaları çalıştırmayın ve uyarıyı kaynağa bildirin.

Bu kontroller birlikte çalıştığında hem aktarım hatası hem de yayın sırasında değiştirilmiş dosya riski azalır. Windows 11 kullanıcıları antivirüs karşılaştırması ile taramayı güncel bir programla yapabilir; hiçbir özet değeri, antivirüs taramasının veya dijital imza kontrolünün yerini tek başına tutmaz.

Güvenli indirme alışkanlığını yerleştirmek

Her indirmeye aynı sırayı uygulamak hata ihtimalini düşürür: kaynağı doğrula, beklenen özeti al, dosyayı indir, özeti yeniden hesapla ve güvenlik taraması yap. İşlem zor görünse bile bu sıra yalnızca birkaç dakika sürer ve şüpheli paketlerin çalışmasını engeller.

Kurumsal cihazlarda yazılım onay listeleri, merkezi depo ve dijital imza zorunluluğu kullanılabilir. Kişisel cihazlarda da indirdiğiniz dosyanın adını, sürümünü, özetini ve kaynağını bir güvenlik notuna kaydetmek, benzer dosyaları sonradan denetlemeyi kolaylaştırır.

Sıradaki dosyanın özetini hesaplayıp resmî SHA-256 değeriyle karşılaştırın ve yalnızca eşleşme varsa açın.