どのアルゴリズムを使うべきですか？

SHA-256 がデフォルトの選択肢で、ほとんどのプロジェクトが公開しているものです。MD5 と SHA-1 は今もレガシーのチェックサムファイルに登場します。偶発的な破損の検出には十分ですが、意図的な改ざんに対して信頼してはいけません。

ハッシュと署名は同じではありませんか？

いいえ。ハッシュは変更を検出し、署名はデータを作成したのが誰かを証明します。強固なリリースプロセスでは、チェックサムファイルに対する署名を公開し、整合性と真正性の両方を検証できるようにします。

ファイルのハッシュをローカルで計算し、公開元のチェックサムと比較します。どのアルゴリズムを信頼すべきかも理解しましょう。

1

整合性検証は 2 つのハッシュを比較します。発行元が公開したもの (リリースページの sha256sums.txt など) と、実際に受け取ったファイルから自分で計算したものです。どちらもここではローカルで行われます。ファイルはアップロードされません。
2

ハッシュ計算ツール →
ファイルの内容をドロップまたは貼り付けて、SHA-256 (最も広く公開されているアルゴリズム) を選択します。出力は 64 文字の hex ダイジェストです。
3

ハッシュ比較ツール →
自分で計算したダイジェストと発行元のダイジェストを貼り付けます。比較は hex について大文字小文字を区別せず、完全一致または最初の相違点を報告します。
4

解釈：ファイルの 1 ビットの違いも、まったく別のダイジェストを生みます。一致すればバイト列が同一です。不一致の場合、改ざんだと決めつける前に再ダウンロードしてください。転送の中断が最も多い原因です。真正性 (本当にベンダーが公開したものか?) については、チェックサムだけでは不十分です。チェックサムファイルに対する GPG または sigstore の署名を検証してください。

どのアルゴリズムを使うべきですか？: SHA-256 がデフォルトの選択肢で、ほとんどのプロジェクトが公開しているものです。MD5 と SHA-1 は今もレガシーのチェックサムファイルに登場します。偶発的な破損の検出には十分ですが、意図的な改ざんに対して信頼してはいけません。
ハッシュと署名は同じではありませんか？: いいえ。ハッシュは変更を検出し、署名はデータを作成したのが誰かを証明します。強固なリリースプロセスでは、チェックサムファイルに対する署名を公開し、整合性と真正性の両方を検証できるようにします。