Na serwerach ftp często widzimy obok zwykłych plików do pobrania (ISO, exe, rpm, deb itp.), dodatkowe pliki o rozszeszeniu *.md5. Zawierają one tzw. weryfikację autentyczności lub inaczej liczbę kontrolną (ang. checksum).

Kod md5 jest wygenerowany za pomocą programu MD5SUM, który analizuje badany plik np. ISO, a następnie tworzy niepowtarzalny ciąg znaków zależny od parametrów badanego pliku. Kod md5 powinien być tworzony dwukrotnie: na serwerze (i udostępniany przez admina obok właściwych plików do pobrania) oraz na komputerze odbiorcy. Inaczej mówiąc: suma kontrolna checksum powstała na serwerze ftp MUSI BYĆ TAKA SAMA jak po wygenerowaniu na Twoim komputerze. Plik md5 weryfikuje, czy badane dwa pliki (na serwerze i na komputerze odbiorcy) pasują do oryginału aż do najmniejszego szczegółu.

By ułatwić zrozumienie logiki działania md5, utworzyłem poniższy formularz. Potrafi on wygenerować sumę kontrolną dowolnego tekstu. Gwarantuję, że suma kontrolna powtórzy się wyłącznie wobec IDENTYCZNEGO tekstu. Zmiana choćby jednej literki lub spacji zmieni diametralnie kod md5.

Oczywiście program MD5SUM potrafi tworzyć kod md5 nie tylko dla prostych plików tekstowych (jak w powyższym formularzu). Umie także analizować bardzo skomplikowane, np. duże pliki będące obrazem płyty CD, DVD. Przypuśćmy, że pobrałeś z serwera ftp plik ISO oraz przypisany mu plik md5. Na swoim domowym komputerze wykonaj:

pod Linuksem, w konsoli wpisz:
cd   /katalog_z_plikiem_iso
md5sum   plik.iso (wynik pojawi się na ekranie)
lub z tworzeniem pliku tekstowego zawierającego wynik (zlecenie tee):
md5sum   plik.iso   2>   /dev/null   |   tee   wynikmd5.txt

pod Windows, w konsoli tekstowej (lub pod DOSem) umieść programik md5sum.exe w katalogu z plikiem ISO (nie trzeba będzie dbać o ścieżki dostępu do pliku i programu).
cd   \katalog_z_plikiem_iso
md5sum.exe   plik.iso
Inne programiki md5 (Windows oraz source dla Linuksa) mam do pobrania z mojego archiwum.

Czekaj kilka-kilkanaście minut. Po wykonaniu powyższego polecenia program MD5SUM wyświetli ciąg znaków. Jeżeli będzie identyczny z ciągiem zapisanym w pliku *.md5, to znaczy, że plik został poprawnie ściągnięty. Jeżeli nie, to masz problem: albo nastąpiły błędy podczas zasysania pliku, albo... oryginalny plik został podmieniony (przez włamywacza) na serwerze ftp i jest rozprowadzany ze "złym kodem", czyli np. "zaszytym" trojanem. Ta druga możliwość jest wbrew pozorom bardzo prawdopodobna. W swoim czasie było głośno o instalce znanego serwera pocztowego, który oferowany na domowej stronie (!!!) programu miał "zaszyte" destrukcyjne funkcje. To samo stało się na serwerze ftp znanej dystrybucji Linuksa, gdy podmieniono Kernel (jądro systemu). Dlatego pamiętaj: NIGDY NIE INSTALUJ PROGRAMU, GDY NIE ZGADZAJĄ SIĘ SUMY KONTROLNE!

Ponieważ spotkałem się z nieprawidłową interpretacją kodu md5 informuję, że nie ma (i nie będzie w najbliższych dziesięcioleciach) komputera, które potrafi (w rozsądnym czasie) z kodu md5 ODZYSKAĆ oryginalny wpis. Kod md5 służy wyłącznie do porównania z innym kodem wygenerowanym na innym komputerze wobec tego samego pliku np. ISO. Zresztą, pomyśl sam... gdyby kod md5 (składający się z 32 znaków) pozwalał na odtworzenie pliku wielkości 4 GB (34.359.738.368 b), to mielibyśmy wspaniałe narzędzie do kompresji...