Cách xác minh băm SHA-256 của APK (Hướng dẫn 2026)

Băm APK là một chuỗi ngắn được tính từ các byte của tệp bằng thuật toán như SHA-256. Tạo nó bằng một lệnh một dòng, rồi so với băm mà trang tải về công bố. Khớp hoàn toàn xác nhận tệp hoàn chỉnh và giống hệt nguồn. Không khớp nghĩa là tải lại.

Bởi Abdul Emam, người kiểm thử APK tại ApkZena. Tôi băm mọi tệp trước khi xuất bản, và theo cách này tôi bắt được hai lượt tải về bị cắt cụt vào tháng 8 năm 2026. Cả hai vốn cũng sẽ cài thất bại, nhưng băm cho tôi biết trong vài giây điều mà một lần cài thất bại sẽ mất vài phút mới giải thích được.

Bạn tải một tệp và muốn xác nhận nó đến nơi còn nguyên vẹn và không bị thay đổi. Đó là thói quen thông minh. Đến nay tôi đã so băm trên bốn hệ điều hành, và lệnh luôn chỉ một dòng. Tôi hứa các lệnh theo từng hệ điều hành cùng một quy tắc đạt hoặc trượt rõ ràng. Bạn sẽ học băm là gì, vì sao nó quan trọng, cách tạo băm trên mọi nền tảng, và cách so.

Băm APK là gì?

Băm APK là chuỗi có độ dài cố định được tính từ nội dung tệp. Cùng một byte luôn cho cùng một băm, và mọi thay đổi đều cho băm khác. Nó đóng vai dấu vân tay của chính tệp đó, không phải của tên ứng dụng hay phiên bản.

Định nghĩa

Một hàm băm đọc toàn bộ byte của tệp và cho ra một digest có độ dài cố định. SHA-256 luôn xuất ra 64 ký tự chữ số hex. Hai tệp giống hệt nhau cho cùng một digest, và chỉ một bit đảo cũng cho một digest hoàn toàn khác. Chính độ nhạy đó làm cho băm hữu ích cho tính toàn vẹn.

SHA-256 so với MD5

MD5 cho digest 128 bit và rất nhanh, nhưng đã bị phá cho mục đích bảo mật vì hai tệp khác nhau có thể được làm cho chia sẻ cùng một băm. SHA-1 cũng bị deprecated cho việc ký. SHA-256 cho digest 256 bit và chống được va chạm có chủ đích, nên nó là tiêu chuẩn cho việc xác minh tải về.

Vì sao băm quan trọng

Băm trả lời một câu hỏi: tệp này có chính xác là tệp mà nhà phát hành liệt kê không. Nó bắt được các lượt tải bị cắt cụt, truyền bị hỏng và tệp bị tráo. Nó không chứng minh tệp an toàn, vì một nhà phát hành xấu có thể liệt kê băm trùng khớp. Nó chứng minh tính toàn vẹn với một nguồn đáng tin.

Vì sao xác minh băm?

Xác minh băm thì nhanh và bắt được những vấn đề mà các kiểm tra khác bỏ lỡ. Nó xác nhận lượt tải, phát hiện can thiệp trên đường truyền, và cho phép bạn so với bản của nhà phát hành.

Xác nhận tính toàn vẹn của lượt tải

Mạng làm rơi gói, máy chủ cắt cụt phản hồi, và trình duyệt đôi khi lưu các tệp dở dang. Kiểm tra băm xác nhận tệp hoàn chỉnh. Hai lượt hỏng tháng 8 của tôi thiếu 1.8 MB và 4.2 MB, và băm không khớp báo cho tôi biết trước khi tôi kịp cài.

Phát hiện can thiệp

Nếu tệp bị sửa sau khi nhà phát hành lưu trữ nó, băm thay đổi. Điều đó bao gồm một tệp tráo trên mirror hoặc một chỉnh sửa trên đường truyền. Băm không cho biết ai đã sửa, nhưng cho bạn biết các byte không còn là bản gốc.

Xác minh với nhà phát hành

Giá trị thật đến từ việc so băm của bạn với băm mà nhà phát hành công bố. Đó là khép kín vòng lặp. Không có tham chiếu được công bố, băm chỉ là một con số. Kiểm tra chữ ký bổ sung bằng chứng danh tính nhà phát triển mà riêng băm không thể cho.

Cách tạo băm trên Android

Bạn có thể băm ngay tệp trên điện thoại sau khi tải. Ba con đường phủ hầu hết người dùng.

Ứng dụng trình quản lý tệp

Một số trình quản lý tệp hiển thị một tùy chọn checksum hoặc hash trong chi tiết tệp hoặc menu ngữ cảnh. Nhấn giữ APK, mở Properties hoặc Details, và tìm mục checksum. Khả năng có hay không tùy ứng dụng, nên hãy kiểm tra trình quản lý tệp của bạn trước.

Termux

Termux cho bạn một shell Linux trên Android. Cài nó, chạy cd /sdcard/Download, rồi chạy sha256sum app.apk. Nó in digest SHA-256 ngay lập tức. Đây là phương pháp trên thiết bị đáng tin cậy nhất và hoạt động không cần root.

Hash Droid

Hash Droid là một ứng dụng đơn giản tính MD5, SHA-1 và SHA-256 cho tệp được chọn. Chọn APK, chọn SHA-256, và đọc kết quả. Đây là cách dễ nhất cho người không muốn mở terminal.

Cách tạo băm trên Windows

Windows có sẵn hai công cụ dòng lệnh tính SHA-256 mà không cần cài thêm. Cả hai đều built in.

PowerShell Get-FileHash

Mở PowerShell trong thư mục chứa APK và chạy Get-FileHash app.apk -Algorithm SHA256. Đầu ra liệt kê thuật toán, băm và đường dẫn. Sao chép băm và so với danh sách. Microsoft tài liệu hóa lệnh này trong tham chiếu Get-FileHash.

CertUtil

Trong Command Prompt, chạy certutil -hashfile app.apk SHA256. Nó in digest trên dòng riêng của nó, khiến việc sao chép dễ dàng. CertUtil có sẵn trên mọi bản Windows hiện đại. Chi tiết nằm trong tham chiếu certutil.

HashTab

HashTab thêm tab File Hashes vào cửa sổ Properties của tệp, nên bạn đọc được băm mà không cần terminal. Tiện lợi cho những lần kiểm tra thỉnh thoảng. Chuột phải vào APK, chọn Properties, và mở tab File Hashes.

Cách tạo băm trên Mac và Linux

Cả hai hệ điều hành đều đi kèm công cụ băm, và các lệnh gần giống nhau.

shasum

Trên macOS hãy chạy shasum -a 256 app.apk trong Terminal. Nó in digest SHA-256 và tên tệp. Lệnh được cài sẵn, nên không có gì phải thiết lập. So digest với danh sách.

sha256sum

Trên Linux hãy chạy sha256sum app.apk. Nó hoạt động tương tự và thuộc coreutils, nên có mặt trên gần như mọi distribution. Sao chép digest và so. Cả hai lệnh nhận nhiều tệp cùng lúc nếu bạn tải hàng loạt.

Cách so băm

Tạo băm chỉ là nửa công việc. So nó với một tham chiếu đáng tin là nửa còn lại, và phép so có một quy tắc chặt: khớp hoàn toàn hoặc trượt.

So với nhà phát hành

Sao chép băm được công bố và so với băm của bạn, từng ký tự một. Chữ hoa chữ thường không quan trọng vì hệ hex không phân biệt hoa thường, nhưng các chữ số phải khớp chính xác. Tôi dán cả hai vào trình soạn thảo văn bản và so độ dài trước, rồi đọc theo từng khối.

Không khớp có nghĩa là gì

Không khớp nghĩa là tệp không phải tệp mà nhà phát hành liệt kê. Nguyên nhân gồm một lượt tải bị cắt cụt hoặc hỏng, lỗi máy chủ, và một tệp bị tráo trên trang bên thứ ba. Coi mọi lần không khớp là dấu hiệu dừng. Đừng cài tệp đó.

Tải lại khi không khớp

Xóa tệp và tải lại, tốt nhất từ nhà phát triển hoặc một mirror đáng tin và trên đường truyền ổn định. Xác minh băm mới. Nếu khớp, hãy tiếp tục. Nếu vẫn không khớp, nguồn đó đang phục vụ một tệp khác, nên hãy đổi nguồn.

Các vấn đề về băm thường gặp

Ba vấn đề chiếm phần lớn sự nhầm lẫn về băm. Mỗi vấn đề có cách sửa rõ ràng.

Không có băm được công bố

Nhiều mirror công bố ứng dụng nhưng không công bố SHA-256 của nó. Không có tham chiếu, bạn không hoàn thành được phép so. Trong trường hợp đó, hãy dựa vào kiểm tra người ký và một lượt quét VirusTotal, và coi việc thiếu băm là một chút trừ điểm niềm tin.

Băm không khớp

Không khớp là trường hợp quan trọng. Tải lại trước, vì một lượt tải dở dang là nguyên nhân phổ biến nhất. Nếu lần không khớp lặp lại, nguồn đó đang phục vụ một tệp đã bị sửa. Xóa nó và báo cáo. Đừng tìm cách ghi đè.

Lượt tải dở dang

Một trình duyệt hoặc đường truyền chập chờn có thể lưu một tệp dở dang nhưng trông như hoàn chỉnh. Kích thước thường gần đúng. Băm bắt ngay lập tức. Đó là lý do tôi băm mọi lượt tải lớn, đặc biệt là các tệp trên 100 MB.

Tiếp theo, hãy băm APK tiếp theo bạn tải bằng certutil -hashfile app.apk SHA256 hoặc shasum -a 256 app.apk, so nó với giá trị được công bố, rồi chạy kiểm tra chữ ký và quét virus trước khi bạn cài.