Calcular hash de archivo

Qué es un hash criptográfico

Un hash es una función matemática que toma una entrada de cualquier tamaño (un archivo de 1 byte o de 10 GB) y produce una salida de tamaño fijo, típicamente representada como una cadena hexadecimal. Características clave:

• Determinista. La misma entrada siempre produce el mismo hash.
• Avalanche effect. Cambiar un solo bit de la entrada produce un hash completamente distinto.
• Unidireccional. No puedes recuperar la entrada a partir del hash. Es como una huella digital: identifica, pero no reconstituye.
• Resistente a colisiones (ideal). Debería ser prácticamente imposible encontrar dos entradas distintas con el mismo hash. Acá es donde MD5 y SHA-1 fallan en 2026.

Comparativa de los algoritmos

MD5 (1992). Produce hashes de 128 bits (32 caracteres hex). Rápido. Colisiones prácticas conocidas desde 2004. Hoy se usa solo para integridad casual: verificar que una descarga llegó completa, identificar archivos duplicados. No para seguridad.

SHA-1 (1995). Hashes de 160 bits (40 caracteres hex). Diseñado por la NSA. Colisiones prácticas demostradas en 2017 (el ataque SHAttered). Git lo usa internamente por legacy, pero está migrando a SHA-256. No uses SHA-1 para nuevas aplicaciones de seguridad.

SHA-256 (2001). Parte de la familia SHA-2, también de la NSA. Hashes de 256 bits (64 caracteres hex). Sin colisiones conocidas. Es el estándar moderno para verificación de integridad, firmas digitales, Bitcoin, Ethereum, certificados TLS. Recomendado para todo uso nuevo.

SHA-512 (2001). También SHA-2, hashes de 512 bits (128 caracteres hex). Más seguro en teoría que SHA-256 contra ciertos ataques futuros. En CPUs modernas de 64 bits puede ser incluso más rápido que SHA-256. Recomendado cuando importa el margen de seguridad extra.

Para qué sirven los hashes en la práctica

Verificación de integridad. Descargas un ISO de Linux, el sitio publica el SHA-256. Calculas el SHA-256 de lo que bajaste y comparas. Si coincide: la descarga está completa y no fue modificada en tránsito.

Detección de duplicados. Si dos archivos tienen el mismo SHA-256, son idénticos bit a bit. Es enormemente más rápido que comparar contenido. Herramientas como rmlint o fdupes lo usan para encontrar fotos duplicadas en tu backup.

Identificación de archivos. Cada versión de un binario tiene un hash único. Bases de datos de malware (VirusTotal) identifican amenazas por hash: si el SHA-256 de un .exe está en la base, sabes qué es sin ejecutarlo.

Firmas digitales. Firmar un hash es equivalente a firmar el archivo completo, pero muchísimo más rápido. Toda la infraestructura de firma digital (certificados TLS, firma de documentos PDF, Authenticode de Windows) firma hashes, no archivos.

Almacenamiento de passwords. Las bases de datos nunca deberían guardar passwords en claro. En su lugar guardan hash + salt. Al loguearte, el servidor calcula el hash del password ingresado y compara. Si alguien roba la base, no ve passwords. Para passwords se usan hashes lentos (bcrypt, Argon2), no SHA directo.

Deduplicación en backup. Sistemas como Borg, Restic, Duplicati dividen los archivos en chunks, calculan hash de cada uno, y solo guardan chunks únicos. Si haces backup el martes y solo cambió un documento, el backup incremental solo agrega los chunks nuevos.

Casos típicos en Chile

Descarga de software del Estado. El SII, el Registro Civil, el Servicio Electoral publican herramientas firmadas. Cuando hay hashes publicados (no siempre están), el SHA-256 te permite verificar que lo que bajaste es lo oficial y no una versión modificada por un atacante en el medio.

Compartir documentos sensibles por canales múltiples. Mandas un PDF por email a tu abogado, y por WhatsApp le envías el SHA-256. Si el abogado calcula el hash del PDF recibido y coincide con el que le mandaste, puede estar seguro de que nadie interceptó y modificó el documento en el medio.

Verificación de backups. Haces backup mensual de facturas y declaraciones al SII. Calculas SHA-256 de cada archivo y guardas los hashes en una planilla. Un año después puedes verificar que el backup sigue íntegro sin abrir todos los archivos.

Auditoría de código fuente. Un desarrollador freelance te entregó un proyecto. Calculas SHA-256 de cada archivo y lo archivas. Semanas después, si hay duda de si algo fue modificado, puedes verificar cada archivo contra el hash archivado.

Validación de cadena de custodia (legal). En casos legales con evidencia digital, calcular SHA-256 al momento de recibir un archivo y firmar ese hash con el otro lado establece un punto de referencia verificable después.

Por qué elegir múltiples algoritmos

En la práctica se suele calcular más de un hash:

• MD5 + SHA-256: MD5 para compatibilidad con sistemas antiguos o para identificar duplicados rápidamente; SHA-256 para la verificación real.
• SHA-256 + SHA-512: SHA-256 por compatibilidad con la mayoría de herramientas, SHA-512 para defensa en profundidad si el SHA-256 llegara a tener problemas en el futuro.
• Solo SHA-256: Para la gran mayoría de casos es suficiente y es el estándar de facto.

Sobre el rendimiento

Calcular un hash requiere leer todo el archivo y procesar sus bytes. Para archivos grandes el cuello de botella es normalmente el disco (velocidad de lectura), no el CPU (SHA-256 modernos usan aceleración por hardware en CPUs Intel/AMD modernas). En tu navegador:

• MD5: ~300-500 MB/s con spark-md5 en chunks.
• SHA-256, SHA-512: ~200-400 MB/s con Web Crypto API (aceleración nativa del browser).
• SHA-1: ~400-600 MB/s, ligeramente más rápido que SHA-256.

Para archivos menores a 100 MB es instantáneo. Para archivos de 1 GB espera unos segundos. La herramienta muestra progreso por chunk para que sepas cuánto falta.

Alternativas para archivos enormes

Para archivos mayores a 1 GB (VMs, videos largos, datasets), el navegador se queda sin memoria. Usa:

• Linux/macOS: sha256sum archivo.iso, md5sum, shasum -a 512 archivo.
• Windows: certutil -hashfile archivo.iso SHA256 (PowerShell o CMD), o Get-FileHash en PowerShell.
• Cross-platform: 7-Zip incluye calculador de hash en el menú contextual de Windows (Extra → CRC SHA).

Privacidad del cálculo de hashes

Esta herramienta nunca sube el archivo a ningún servidor. Todo el procesamiento ocurre en JavaScript en tu navegador, usando la Web Crypto API nativa (para SHA) y spark-md5 (una biblioteca que calcula MD5 sin dependencias externas).

Por qué importa: calcular hashes de documentos confidenciales (declaraciones de impuestos, historia médica, contratos legales, evidencia digital) en un servicio online implica subirlos. Aunque el servicio sea honesto, siempre hay riesgo de logs, intercepción, retención accidental. El cálculo local elimina todo eso.

Para casos donde además necesitas integridad del archivo almacenado (ej: backup en la nube), combina el hash con /archivo/info para ver metadata completa y compara con versiones anteriores.