Intégrité de fichier SHA-256 : comment une empreinte prouve qu’un fichier n’a pas changé

Une empreinte SHA-256 est la chaîne que la fonction de hachage SHA-256 calcule à partir d’un fichier : elle lit un fichier de n’importe quelle taille et renvoie toujours 256 bits, écrits sous forme de 64 caractères hexadécimaux.

9f2c4e8a1b7d3f60c5a29e84bb1730df
5e6a0c93d47182fbe95c2a7d3810a41d

Le même fichier produit toujours la même empreinte, sur n’importe quelle machine, n’importe quelle année. Un fichier différent en produit une différente.

Modifiez un seul caractère n’importe où dans le fichier, et l’empreinte ne varie pas légèrement. Elle devient une chaîne sans aucun rapport, dont environ la moitié des bits ont basculé.

C’est cette propriété qui rend la comparaison utile. Inutile de lire deux fichiers pour savoir qu’ils diffèrent : on compare deux chaînes courtes, et soit elles correspondent exactement, soit non. Il n’y a pas de correspondance partielle et rien à interpréter.

Aucun logiciel n’est à installer. Tous les grands systèmes d’exploitation intègrent cette fonction.

Lancez-la sur le fichier, comparez le résultat à l’empreinte imprimée sur la page de certificat, et vous aurez vérifié le travail vous-même au lieu de croire quiconque sur parole. Si vous préférez ne pas relire soixante-quatre caractères sur une page, le vérificateur SHA-256 fait la comparaison pour vous, dans votre navigateur, sans rien envoyer.

Une empreinte imprimée sur une page ne prouve rien à elle seule : sans le fichier qu’elle décrit, il n’y a rien à quoi la comparer.

Le ZIP d’origine est donc joint au PDF lorsqu’il fait moins de 10 Mo. Quiconque reçoit le document peut l’extraire, lancer l’une des commandes ci-dessus et constater par lui-même si la chaîne correspond. La vérification ne dépend pas de notre disponibilité, ni même de notre existence. Une archive plus lourde est fournie à côté du PDF, car les systèmes de dépôt plafonnent la taille des pièces jointes, et le certificat indique lequel des deux cas s’applique.

• Les empreintes correspondent : le fichier est, octet pour octet, celui qui a été utilisé.
• Elles diffèrent : quelque chose a changé après la génération du document.

Une empreinte atteste l’intégrité, pas l’authenticité ni l’exactitude. Ce sont des questions distinctes, auxquelles répondent des personnes et non l’arithmétique. Rendre une page citable est encore une autre question, et la réponse à celle-ci est la numérotation des cotes.

Autant le dire clairement : ChatExhibits génère un document et une empreinte. Il ne décide pas de ce qu’un tribunal accepte, et faciliter la vérification n’est pas la même chose que garantir quoi que ce soit.