भारत में डेटा की क़ीमत और Play Store की पाबंदियों की वजह से APK फ़ाइलें सीधे थर्ड-पार्टी वेबसाइट या टेलीग्राम/व्हाट्सऐप लिंक से डाउनलोड करना बहुत आम है — और यही वह जगह है जहाँ नक़ली लोन ऐप्स और बैंकिंग-जैसी दिखने वाली फ़्रॉड ऐप्स सबसे ज़्यादा फैलती हैं। RBI (भारतीय रिज़र्व बैंक) समय-समय पर ऐसी अनरजिस्टर्ड लोन ऐप्स के ख़िलाफ़ चेतावनी जारी करता रहा है, जो असली बैंकिंग ऐप जैसी दिखती हैं। असली स्रोत से मिले चेकसम के साथ मिलान करना यह पकड़ने का एक तरीक़ा है कि डाउनलोड की गई फ़ाइल छेड़छाड़ की गई तो नहीं।
चेकसम करप्शन या छेड़छाड़ कैसे पकड़ता है
हैश फ़ंक्शन के एवलांच इफ़ेक्ट की वजह से, चाहे ट्रांसफ़र में ख़राबी हो या जानबूझकर बदलाव — एक भी बाइट बदलने से फ़ाइल का पूरा हैश बदल जाता है। इसलिए एक्सपेक्टेड और कैलकुलेटेड चेकसम के बीच कोई भी अंतर साफ़ तौर पर बताता है कि फ़ाइल ओरिजिनल से अलग है — बाइट दर बाइट।
चेकसम क्या गारंटी नहीं देता
हैश का मैच होना सिर्फ़ यह कन्फ़र्म करता है कि फ़ाइल उस फ़ाइल जैसी है जिससे पब्लिश किया गया हैश निकाला गया था — यह नहीं कि वह ओरिजिनल भरोसेमंद है। अगर कोई नक़ली वेबसाइट फ़र्ज़ी APK के साथ अपना ख़ुद का "मैचिंग" चेकसम भी दिखा दे, तो वेरिफ़िकेशन कुछ नहीं पकड़ेगा — इसलिए एक्सपेक्टेड हैश हमेशा बैंक या डेवलपर की आधिकारिक वेबसाइट से ही लें, उस थर्ड-पार्टी सोर्स से नहीं जहाँ से APK डाउनलोड की।
चेकसम बनाम डिजिटल सिग्नेचर
चेकसम के उलट, डिजिटल सिग्नेचर एक प्राइवेट की से बनाया जाता है और सिर्फ़ मैचिंग पब्लिक की से वेरिफ़ाई किया जा सकता है — Play Store से इंस्टॉल होने पर यह साइनिंग वेरिफ़िकेशन अपने-आप होता है, लेकिन APK साइडलोड करते समय यह सुरक्षा हट जाती है और मैन्युअल चेकसम मिलान ही एकमात्र बचा हुआ चेक होता है।
यह किस काम आता है
- साइडलोड किए गए बैंकिंग या सरकारी ऐप के APK की सत्यता जाँचना।
- बाइट-दर-बाइट तुलना किए बिना दो बड़ी फ़ाइलों की जल्दी तुलना करना।
- यह वेरिफ़ाई करना कि किसी फ़ाइल का बैकअप कॉपी ओरिजिनल जैसा ही है।
SHA-256 की जगह कभी-कभी CRC32 का इस्तेमाल क्यों होता है
CRC32 क्रिप्टोग्राफ़िक हैश फ़ंक्शन से कहीं ज़्यादा तेज़ है, लेकिन इसे जान-बूझकर आसानी से नकली बनाया जा सकता है — ग़लती से हुई ख़राबी पकड़ने के लिए यह ठीक है, लेकिन किसी हमलावर से बचाव के लिए उपयुक्त नहीं। इसीलिए CRC32 आज भी आर्काइवर्स और नेटवर्क प्रोटोकॉल्स में एरर-चेकिंग के लिए मिलता है, न कि वहाँ जहाँ असली सुरक्षा चाहिए।