チェックサムで確認できること・できないこと
ハッシュはファイルのバイト列から計算します。同じアルゴリズムの信頼できる期待値と照合し、内容検査や送信者確認とは分けます。
最初に結論
バイト一致、必要ファイルの有無、内容の正しさ、入手元の信頼性は別の検査です。
何を比較するか決める
対象ファイルと版、計算アルゴリズムを記録し、原本と受領後の値を比較します。SHA-256等の暗号学的ハッシュの一致はバイト同一性の強い根拠ですが、名前・保存先・外部の時刻属性は別に確認します。
一覧の完全性も確認する
一つのハッシュでは未収集のsidecarや外部データは検査できません。必要ファイルの一覧と対応する値を用意し、欠落や余分な項目を照合します。テキストの改行や再圧縮で値が変わるため、意味の等価性は別に検証します。
出所と安全性は証明しない
攻撃者がファイルと期待値の両方を置き換えれば、照合しても改ざんを検出できません。期待値の入手経路や必要な署名確認を別に設けます。一致しても正しい測定・完全な原本・マルウェア不在の証明にはなりません。不一致なら原本を保持し、転送や対象版を調べます。