Vous téléchargez une image ISO, une archive ou un paquet depuis Internet ? Avant de l’utiliser, vérifiez que le fichier reçu correspond bien à celui publié par l’éditeur. Sous Linux, sha256sum permet de comparer cette empreinte sans installer d’outil supplémentaire.
La commande confirme l’intégrité du fichier, pas son authenticité. Si l’empreinte publiée vient d’un site compromis, la comparaison peut réussir malgré tout. Pour les logiciels sensibles, vérifiez aussi la signature ou la clé de l’éditeur. La page sha256sum(1) détaille les options disponibles.
Calculer l’empreinte d’un fichier
Prenez un fichier téléchargé et calculez son empreinte SHA-256 :
sha256sum fichier.isoLa sortie contient une longue valeur hexadécimale suivie du nom du fichier. Comparez cette valeur avec celle affichée sur la page officielle ou dans le fichier de sommes fourni avec le téléchargement. La moindre différence signifie que le fichier n’est pas identique.
Si le chemin contient des espaces, placez-le entre guillemets :
sha256sum "Mon fichier.iso"Vous pouvez aussi enregistrer l’empreinte pour la transmettre ou la comparer plus tard :
sha256sum fichier.iso > fichier.iso.sha256Vérifier un fichier .sha256 avec -c
Le format le plus pratique est un fichier de contrôle contenant l’empreinte, deux espaces, puis le chemin du fichier. Vous pouvez le vérifier directement avec -c :
sha256sum -c fichier.iso.sha256Un résultat OK confirme que le contenu actuel correspond à l’empreinte enregistrée. La commande renvoie un code de sortie nul, ce qui permet de l’intégrer dans un script ou une procédure de déploiement.
Pour contrôler plusieurs fichiers, le fichier de sommes peut contenir une ligne par fichier :
sha256sum image.iso paquet.deb > checksums.sha256
sha256sum -c checksums.sha256La commande recherche les fichiers à partir des chemins présents dans le fichier de contrôle. Lancez-la depuis le bon répertoire, ou conservez des chemins relatifs cohérents. Avec un chemin absolu, le contrôle reste possible quel que soit le répertoire courant.
Que signifie un échec de contrôle ?
Si la commande affiche FAILED, ne lancez pas le fichier. Le téléchargement peut être incomplet, interrompu, remplacé par une nouvelle version ou altéré pendant le transfert. Téléchargez-le à nouveau depuis la page officielle, puis vérifiez l’empreinte fournie pour cette version précise.
Un fichier introuvable provoque une erreur distincte. Vérifiez le nom, la casse et le chemin avec ls -l. Les fichiers de sommes récupérés dans un autre dossier contiennent parfois un chemin qui ne correspond plus à votre arborescence. Dans ce cas, ouvrez le fichier, corrigez uniquement le chemin si vous avez confirmé que l’empreinte correspond bien au téléchargement, puis relancez le contrôle.
Pour un téléchargement repris avec wget sous Linux, la somme SHA-256 est justement le contrôle à effectuer avant d’utiliser l’archive. Si vous téléchargez un paquet ou une image depuis un serveur HTTPS, vous pouvez aussi examiner le certificat avec openssl s_client, mais cela ne remplace pas la vérification du fichier.
Intégrité, authenticité et signature
Une empreinte SHA-256 répond à une question simple : le fichier est-il identique à celui qui a servi au calcul ? Elle ne prouve pas que l’empreinte publiée vient réellement de l’éditeur. Pour une image de distribution ou un paquet important, consultez la documentation officielle et vérifiez la signature GPG lorsqu’elle est proposée.
Dans une procédure d’administration, je garde le fichier de contrôle avec le téléchargement, je lance sha256sum -c avant toute installation et je traite chaque échec comme un blocage. Cette vérification prend quelques secondes et évite de diagnostiquer ensuite un problème provoqué par un fichier incomplet.