Vérifier l'intégrité des fichiers : MD5, SHA, HashTools et HashTab

Pourquoi vérifier l’intégrité d’un fichier

La vérification d’intégrité compare une empreinte (hash) calculée localement avec une empreinte de référence fournie (par l’éditeur, par exemple). Si les deux valeurs diffèrent, le fichier a été corrompu ou modifié.

Définition rapide : un hash est une courte valeur fixe dérivée du contenu d’un fichier ; toute modification, même d’un seul bit, change le hash.

Important : ne faites pas confiance aux sommes de contrôle trouvées sur des sources non fiables. Préférez des canaux officiels (site de l’éditeur, signatures GPG/PGP).

Outils présentés

• MD5 and SHA Checksum Utility
• HashTools
• HashTab

Chaque outil a des forces différentes selon vos besoins : rapidité, lots, intégration explorateur, ou support étendu d’algorithmes.

MD5 and SHA Checksum Utility

Principales caractéristiques :

• Calculs pris en charge (édition gratuite) : MD5, SHA‑1, SHA‑256, SHA‑512.
• Avantage : rapide pour de gros fichiers.
• Limite de l’édition gratuite : pas de traitement simultané de plusieurs fichiers et pas d’intégration au menu contextuel de l’Explorateur Windows.

Utilisation basique : glissez‑déposez un fichier sur la fenêtre de l’application ou cliquez sur Browse et sélectionnez le fichier.

Quand l’utiliser : pour vérifier rapidement l’empreinte d’un seul fichier volumineux avant installation ou archivage.

HashTools

Algorithmes pris en charge : CRC32, MD5, SHA‑1, SHA‑256, SHA‑384, SHA‑512.

Points forts :

• Traitement par lots (plusieurs fichiers et dossiers).
• Comparaison de valeurs de hash intégrée.
• Intégration au menu contextuel : clic droit → Hash with HashTools.

Flux recommandé :

1. Sélectionnez fichiers/dossiers dans l’explorateur.
2. Clic droit → Hash with HashTools.
3. Dans la fenêtre de l’app, ajoutez ou retirez des fichiers.
4. Lancez le calcul et comparez avec les valeurs de référence.

Astuce : désactivez les algorithmes inutiles pour accélérer le calcul sur de très gros ensembles.

HashTab

Description : extension Windows qui ajoute un onglet « Hash » dans la boîte Propriétés des fichiers.

Algorithmes et support : par défaut CRC32, MD5, SHA‑1. Options additionnelles (à cocher) : Adler32, BLAKE2sp, BTIH, ED2K, GOST, MD2, MD4, RIPEMD128/256/320, SHA‑256 (et Base64), SHA‑384, SHA‑512, SHA3‑*, TTH, Tiger, Whirlpool, etc.

Configuration : cliquez sur Settings sous la liste Name/Hash Value et cochez les algorithmes souhaités pour réduire le temps de calcul.

Quand l’utiliser : idéal si vous vérifiez souvent des fichiers individuellement et souhaitez une intégration transparente au flux Windows.

Méthodes alternatives

• Ligne de commande (Linux/macOS) : sha256sum, md5sum, shasum.

Exemples :

# Linux / macOS
md5sum fichier.bin
sha256sum fichier.iso
shasum -a 512 fichier.tar.gz

• Windows (PowerShell / CertUtil) :

# PowerShell
Get-FileHash -Path .\fichier.iso -Algorithm SHA256

# CertUtil (cmd)
certutil -hashfile fichier.iso SHA256

• Vérification signée : préférer les signatures GPG/PGP si l’éditeur fournit .sig ou .asc.

Fact box : longueurs usuelles des hashes

• MD5 : 128 bits (32 hex) — obsolète pour la sécurité, utile pour détection de corruption.
• SHA‑1 : 160 bits (40 hex) — collisions connues, éviter pour la sécurité.
• SHA‑256 : 256 bits (64 hex) — bon compromis pour intégrité et sécurité.
• SHA‑512 : 512 bits (128 hex) — utilisé pour très haute résistance cryptographique.

Contre‑exemples / Quand la vérification échoue

• Fichiers compressés ou encodés différemment produiront un hash différent.
• Les métadonnées modifiées (horodatage, attributs NTFS) n’affectent pas toujours le contenu binaire, mais certaines méthodes d’exportation peuvent.
• Un hash correct n’exclut pas une compromission si l’empreinte de référence elle‑même a été falsifiée.

Checklist rapide (Rôles)

Administrateur système :

• Automatiser les vérifications périodiques (scripts, tâches planifiées).
• Stocker les empreintes de référence sur un serveur séparé et accessible en lecture seule.
• Prévoir alertes en cas de divergence.

Utilisateur final / développeur :

• Toujours vérifier la somme fournie par l’éditeur.
• Préférer SHA‑256 ou supérieur pour distribution publique.
• Utiliser GPG/PGP si disponible.

Playbook minimal pour vérifier un iso téléchargé

1. Téléchargez le fichier .iso et le fichier .sha256 (ou la somme fournie sur le site).
2. Calculez localement : Get-FileHash -Path .\fichier.iso -Algorithm SHA256
3. Comparez manuellement ou via script (strip des espaces/newlines).
4. Si égalité → installer/extraire. Sinon → retélécharger ou contacter le fournisseur.

Critères d’acceptation

• Le hash calculé localement correspond exactement à la valeur de référence fournie.
• La méthode de distribution de la valeur de référence est considérée fiable (site officiel, signature GPG).
• Le processus est reproductible et journalisé si nécessaire.

Tests et cas d’usage

• Test 1 : fichier tronqué → hash différent attendu.
• Test 2 : fichier identique → hash identique.
• Test 3 : fichier modifié (un octet) → hash différent.
• Test 4 : lots (100+ fichiers) → vérifier performance et stabilité de HashTools.

Sécurité et confidentialité

• Ne partagez pas vos fichiers ou empreintes sur des canaux non sécurisés si les fichiers sont sensibles.
• Les sommes de contrôle seules ne chiffrent pas ni n’autorisent l’accès ; elles servent uniquement à détecter des modifications.
• Pour distribution sécurisée, fournissez la somme et sa signature numérique (GPG/PGP).

Astuces pratiques

• Pour accélérer : désactivez les algorithmes inutiles dans HashTab/HashTools.
• Pour automatiser : créez un script PowerShell qui lit un fichier de référence et signale les divergences.
• Pour archivage : calculez et conservez plusieurs algorithmes (ex. SHA‑256 + SHA‑512) pour résilience.

Résumé

Vérifier l’intégrité des fichiers est une étape simple et efficace pour détecter la corruption ou la manipulation. Choisissez l’outil en fonction du volume (un seul fichier vs lots) et du niveau d’intégration souhaité. Préférez SHA‑256 ou supérieur pour la distribution publique, et utilisez les signatures GPG/PGP quand elles sont disponibles.

Important : une somme correcte ne garantit pas l’absence d’attaque si la somme fournie est compromise ; toujours vérifier la source.