Has descargado la actualización, el tamaño del archivo coincide, todo parece normal… pero ¿qué hay dentro? Yo mismo he hecho clic varias veces en «ejecutar» y he cruzado los dedos. Y luego leí cómo la gente perdía el acceso a sus cuentas o se infectaba con troyanos precisamente a través de las «actualizaciones oficiales». Analicemos qué riesgos existen realmente y cómo comprobar los archivos para no arrepentirse después.
¿Por qué es importante?
Imagina: has descargado una nueva versión de una aplicación que utilizas a diario. Un navegador, un cliente de trabajo, cualquier servicio en línea. Si el archivo de actualización ha sido alterado durante la descarga, un atacante puede acceder a tu nombre de usuario, contraseña, historial de pagos o correspondencia. Basta con que se modifique un solo bit para que el hash ya sea diferente. Por eso, comprobar la integridad de las actualizaciones descargadas se ha convertido en una rutina tan habitual como cambiar las contraseñas: sin ella, pones en riesgo no solo tu ordenador, sino también tus datos personales.
Muchos piensan: «Pero si tengo un antivirus». El antivirus entra en acción solo después de que se haya ejecutado el archivo. La comprobación de la suma hash o de la firma digital detecta las falsificaciones antes de que se ejecuten. Es como comprobar el pasaporte de una persona que llama a la puerta, en lugar de dejarla entrar y luego llamar a la policía.
Principales riesgos y peligros
Primer riesgo: la sustitución del archivo sobre la marcha. Los ciberdelincuentes crean sitios web falsos o interceptan el tráfico y cuelan una «actualización» que roba datos o instala un minero de criptomonedas. Son especialmente vulnerables los programas populares con una gran audiencia: navegadores, aplicaciones de mensajería, clientes de servicios en línea… Son precisamente estos los que suelen ser el blanco principal, ya que un solo ataque exitoso afecta de golpe a miles de dispositivos.
El segundo riesgo son los algoritmos obsoletos. Muchos siguen fijándose únicamente en el MD5, pero hace tiempo que se sabe cómo falsificarlo: existen casos documentados en los que dos archivos diferentes arrojaban el mismo valor MD5. Hoy en día, el estándar mínimo es el SHA-256.
El tercer riesgo es la falta de atención. Una persona copia el hash y se salta un carácter. O lo compara con el hash de una página web falsa. O ni siquiera mira de dónde procede el archivo. El resultado es previsible: «No he descargado nada, pero tengo virus».
Cómo comprobar correctamente la integridad de las actualizaciones descargadas
La suma hash es la huella digital de un archivo. Una función matemática convierte todo el archivo en una cadena de letras y números. Si cambias tan solo una coma en el código, la cadena será completamente diferente. Si el hash coincide con el publicado por el desarrollador, el archivo no ha sido alterado.
La firma digital es el siguiente nivel. El desarrollador firma el archivo con una clave privada y tú lo verificas con una clave pública. Es como un sello notarial: «Sí, esto es sin duda de nosotros y no se ha modificado nada».
Veámoslo paso a paso para los sistemas más comunes.
Windows
- Descarga el archivo de actualización y guárdalo en una carpeta que te resulte cómoda, por ejemplo, en el escritorio.
- Haz clic con el botón derecho en un espacio vacío de la carpeta y selecciona «Abrir PowerShell aquí» (en las nuevas versiones de Windows, «Terminal»).
- Introduce el comando:
Get-FileHash -Algorithm SHA256 .\nombre_archivo.exe— sustituye el nombre del archivo por el real. - Pulsa Intro. Obtendrás una cadena larga: ese es el hash.
- Abre la página web oficial del programa, busca la sección «checksum» o «hash» y copia el SHA-256 que aparece allí.
- Compara las cadenas. Si coinciden, puedes ejecutarlo. Si no, envía el archivo a la papelera y descárgalo de nuevo desde la fuente oficial.
Para la firma digital en Windows es aún más sencillo: haz clic con el botón derecho del ratón sobre el archivo → «Propiedades» → pestaña «Firmas digitales». Si aparece allí la firma del desarrollador original con el estado «OK», todo está en orden.
Linux. Abre el terminal y escribe: sha256sum nombre_archivo. Para comprobar la firma si hay un archivo .sig: gpg --verify archivo.sig archivo. Si aparece «Good signature», puedes dormir tranquilo.
Mac. De forma similar: shasum -a 256 nombre_archivo. No hay ningún truco.
Ventajas e inconvenientes de los distintos métodos
Sumas hash: rápido, sencillo, no hay que instalar nada. El punto débil es que debes confiar en la fuente de donde has obtenido el propio hash. Si la página web ha sido pirateada, el hash podría ser falso.
Las firmas digitales demuestran no solo la integridad, sino también la autoría. Configurar GPG por primera vez es un poco más complicado, y no todos los desarrolladores firman sus archivos; pero, cuando hay una firma, es la opción más fiable.
Los proyectos serios utilizan ambos métodos a la vez. Si tienes la posibilidad, haz lo mismo.
Errores frecuentes que cometen casi todos
- Calculadoras de hash en línea. Al subir un archivo a una página web ajena, esta puede guardarlo o alterarlo. Nunca lo hagas así.
- Comparar solo los primeros caracteres. Un SHA-256 completo tiene 64 caracteres. Si te saltas uno, toda la verificación se va al traste.
- Un hash procedente del mismo sitio web que el archivo. Si el sitio web está comprometido, ambos archivos son falsos. Es mejor obtener el hash de un espejo independiente.
- Ignorar las advertencias del antivirus. Aunque el hash coincida, si el sistema te avisa, es mejor no ejecutarlo.
- «Esta vez lo pasaré por alto». Justo esa vez es cuando te pilla.
Comparación de herramientas y métodos
| Método / Herramienta | Complejidad | Fiabilidad | Cuándo utilizarlo |
|---|---|---|---|
| PowerShell Get-FileHash (Windows) | Baja | Alta | Usuarios habituales, comprobaciones rápidas |
| sha256sum (Linux/Mac) | Muy baja | Alta | Cualquiera que tenga un terminal |
| GPG --verify (firma digital) | Media | Muy alta | Actualizaciones importantes, desarrolladores |
| Calculadoras en línea | Baja | Baja | Nunca (arriesgado) |
| Programas de interfaz gráfica de terceros (HashTab, etc.) | Baja | Media | Para quienes no les gusta la línea de comandos |
Preguntas frecuentes
¿Qué es una suma hash y por qué hay que comprobarla al descargar actualizaciones?
La suma hash es una «huella» digital única del archivo. Si coincide con la indicada por el desarrollador, el archivo no ha sido modificado. La comprobación dura un minuto y protege contra la mayoría de las falsificaciones.
¿Cómo se comprueba la integridad de las actualizaciones descargadas en Windows sin usar la línea de comandos?
Puedes instalar el programa gratuito HashTab: añade una pestaña a las propiedades del archivo y muestra los hash automáticamente. Pero PowerShell es más fiable y no requiere instalar nada adicional.
¿Cuál es la diferencia entre una suma hash y una firma digital?
El hash indica que el archivo no ha sido modificado. La firma digital confirma además que el archivo procede realmente del autor declarado. Lo ideal es utilizar ambos métodos conjuntamente.
¿Se puede confiar en los servicios en línea para comprobar la suma hash?
No. Al subir un archivo a una página web ajena, corres un riesgo. Calcula siempre el hash de forma local, en tu propio ordenador.
¿Qué hacer si el hash no coincide?
Elimina el archivo y descárgalo de nuevo desde la fuente oficial o un servidor espejo. Si sigue sin coincidir, ponte en contacto con el servicio de asistencia del desarrollador.
¿Hay que comprobar todas las actualizaciones o solo las importantes?
Es mejor comprobarlas todas. Se adquiere el hábito en una semana, pero los riesgos siempre están ahí, sobre todo si la actualización afecta a programas que utilizas para comunicarte o realizar pagos.
¿Hay alguna forma de automatizar la comprobación de los hash?
Sí. Se puede escribir un script sencillo en PowerShell o Bash que compare automáticamente el hash con un valor guardado previamente. Pero, para empezar, basta con la comprobación manual.
Las sumas hash y las firmas digitales te proporcionan un control real sobre lo que llega a tu ordenador. Treinta segundos de comprobación y sabrás con certeza qué es lo que estás ejecutando. Para los usuarios de servicios en los que se almacenan datos de pago y correspondencia personal — por ejemplo, VibraGame permite comprobar la firma de la aplicación del cliente directamente en la página de descarga — , esto es especialmente relevante: un cliente de chat comprometido da acceso inmediato a toda la cuenta. Realiza la comprobación cada vez; al cabo de un mes se habrá convertido en algo tan automático como cerrar la puerta con llave.