WindowsでSHA-256を使用してファイルの整合性をチェックする

Windows 内のファイルが既知の正常なコピーと一致するかどうかを確認するには、そのファイルの SHA-256 ハッシュを計算し、その結果をファイルの発行元が公開している値と比較します。Windows には PowerShell のGet-FileHashコマンドレットとcertutilコマンドが含まれているため、サードパーティ製のチェックサムユーティリティは必要ありません。ハッシュ値自体は単なる指紋であり、信頼できる参照値がある場合にのみ一致を確認できます。

ファイルハッシュからわかること

ハッシュとは、ファイルの内容から計算される固定長の値です。ファイル名や拡張子はハッシュ値を決定するものではありませんが、内容を変更すると通常はハッシュ値も変わります。2つのファイルのSHA-256ハッシュ値が同じであれば、実用的なファイルチェックにおいては内容が同じであるとみなされます。ハッシュ値が一致しない場合は、バイト列が異なることを意味しますが、ダウンロードの不完全さ、異なるリリース、ドライブの破損、意図的な変更など、原因を特定することはできません。

ダウンロードする場合、参照元はソフトウェア発行元の公式ページであり、ダウンロードしたファイル、バージョン、アーキテクチャと完全に一致している必要があります。信頼できないミラーサイトからコピーしたチェックサムは、ファイルの真正性を証明するものではありません。発行元がハッシュ値を公開していない場合、ローカルでハッシュ値を計算しても真正性を証明することはできません。

ダウンロードしたファイルをPowerShellでチェックする

1. 発行元のSHA-256値を調べます。公式ダウンロードページを開き、チェックサムが同じリリースおよびファイル名のものであることを確認します。比較のために、SHA-256値全体をコピーします。

2. PowerShellまたはWindowsターミナルを開きます。スタートメニューでPowerShellを検索するか、スタートメニューからターミナルを開いてください。通常のファイルのハッシュ化には標準ユーザーセッションで十分です。管理者権限は必要ありません。

Get-FileHash -LiteralPath "C:\Users\YourName\Downloads\installer.exe" -Algorithm SHA256

サンプルパスをファイルのフルパスに置き換えてください。パスにスペースが含まれている場合は、引用符はそのまま残してください。このコマンドは、アルゴリズム、ハッシュ、およびパスを表示します。PowerShell はデフォルトで SHA-256 を使用しますが、アルゴリズムに名前を付けることで比較が明確になります。Microsoft は、Get-FileHash リファレンスでこのコマンドとサポートされているパラメーターについて説明しています。

3. ハッシュ全体を比較します。出力がSHA256であることを確認し、ハッシュ値の各文字をパブリッシャーのチェックサムと比較します。大文字と小文字は区別されませんが、省略された文字や余分な文字は区別されます。PowerShellに単純な結果を返すように指示することもできます。

$expected = "PASTE_THE_PUBLISHED_SHA256"
$actual = (Get-FileHash -LiteralPath "C:\Users\YourName\Downloads\installer.exe" -Algorithm SHA256).Hash
$actual -eq $expected

結果が の場合は、Trueローカルで計算された値が入力した値と一致します。Falseは、値が異なります。結論を出す前に、正しいチェックサムをコピーし、一致するダウンロードを選択したことを再確認してください。

4. 不一致が発生した場合は、慎重に対応してください。不一致の原因が不明な間は、ファイルを開いたりインストールしたりしないでください。該当のファイルを削除または隔離し、発行元の公式サイトから再度ダウンロードして、チェックを繰り返してください。古いチェックサムと、新しいバージョン、異なる言語、または異なるプロセッサビルドを比較していないことを確認してください。

コマンドプロンプトとCertUtilを使用する

コマンドプロンプトがお好みの場合は、Windowsターミナルまたはコマンドプロンプトウィンドウで以下の組み込みコマンドを実行してください。

certutil -hashfile "C:\Users\YourName\Downloads\installer.exe" SHA256

コマンド出力行の間に表示されるハッシュ値を読み取り、同じ発行元値と比較します。CertUtilの公式ドキュメント-hashfileでは、これはファイルに対して暗号化ハッシュを生成して表示する機能であると説明されています。

MD5、SHA-1、SFVファイルについてはどうでしょうか？

古いダウンロードページではMD5またはSHA-1の値が提供されている場合があり、.sfvファイルには一連のファイルのCRC-32チェックサムが含まれています。これらの形式は、信頼できる元のマニフェストと比較することで、偶発的な転送エラーを検出するのに役立ちます。ただし、ダウンロードが本物であることを確認する安全な方法ではありません。Microsoftは、MD5とSHA-1はもはや攻撃に対して安全とはみなされていないと指摘しています。発行元がSHA-256を提供している場合は、それを使用してください。古いソースがMD5値のみを提供している場合は、信頼性の証明ではなく、限定的な変更チェックとして扱ってください。

Windowsシステムファイルのチェックは別の作業です

Get-FileHash指定した参照情報に基づいてファイルをチェックしますが、Windows システム ファイルに何が含まれているべきかは認識しません。保護された Windows ファイルの場合は、管理者権限で起動した端末からシステム ファイル チェッカーを使用してください。 はsfc /verifyonly修復せずにスキャンを実行し、 はsfc /scannowスキャンして修復を試みます。これらのオプションについては、Microsoft のSFC コマンド リファレンスに記載されています。ダウンロード、アーカイブ、バックアップ、および信頼できるチェックサムを持つその他のファイルには、ハッシュ方式を使用してください。