Hashdeep : un outil pour l’intégrité des fichiers et l’investigation

En tant qu’utilisateur chevronné de Linux avec plus d’une décennie d’expérience, j’ai rencontré de nombreux outils qui aident dans divers aspects de l’administration système, de la sécurité et de la criminalistique.

L’un de ces outils que je trouve particulièrement utile est hashdeep, qui est un puissant utilitaire de ligne de commande utilisé principalement pour la vérification de l’intégrité des fichiers et la vérification des hachages cryptographiques.

Dans cet article, je vais vous expliquer en détail ce qu’est hashdeep, comment il fonctionne et comment vous pouvez l’utiliser efficacement dans les environnements Linux.

Qu’est-ce que le haschisch ?

hashdeep est un outil utilisé pour calculer, comparer et vérifier les hachages de fichiers, qui sont des identifiants uniques créés en appliquant une fonction de hachage (comme SHA-256 ou MD5) au contenu d’un fichier. Ces hachages servent d'« empreintes digitales » pour les fichiers. Lorsque deux fichiers ont le même hachage, cela signifie que leur contenu est identique.

hashdeep prend en charge plusieurs algorithmes de hachage tels que MD5, SHA-1 et SHA-256, ce qui le rend flexible pour divers cas d’utilisation.

Il est le plus souvent utilisé dans :

• Vérification de l’intégrité des fichiers : S’assurer que les fichiers n’ont pas été altérés ou corrompus au fil du temps.
• Criminalistique numérique : Vérification de l’intégrité des fichiers dans les enquêtes judiciaires.
• Sauvegarde et restauration : vérification de l’intégrité des fichiers de sauvegarde et garantie de la cohérence des données pendant les processus de récupération.

Installation de hashdeep sous Linux

Avant de nous plonger dans son utilisation, installons d’abord hashdeep sur votre système Linux, qui est disponible dans la plupart des dépôts de paquets de distribution, afin que l’installation soit facile.

sudo apt install hashdeep         [On Debian, Ubuntu and Mint]
sudo yum install hashdeep         [On RHEL/CentOS/Fedora and Rocky/AlmaLinux]
sudo emerge -a sys-apps/hashdeep  [On Gentoo Linux]
sudo apk add hashdeep             [On Alpine Linux]
sudo pacman -S hashdeep           [On Arch Linux]
sudo zypper install hashdeep      [On OpenSUSE]    
sudo pkg install hashdeep         [On FreeBSD]

Une fois installé, vous pouvez commencer à utiliser hashdeep pour calculer et vérifier les hachages de fichiers.

Vous trouverez ci-dessous quelques-uns des cas d’utilisation les plus courants.

1. Calcul des hachages de fichiers

L’utilisation la plus basique de hashdeep consiste à calculer le hachage d’un seul fichier ou de plusieurs fichiers.

hashdeep -c sha256 myqr.png

Dans cette commande :

• -c sha256 spécifie l’algorithme de hachage (SHA-256 dans ce cas).
• myqr.png’est le fichier que vous souhaitez hacher.

Vous pouvez remplacer sha256 par md5, sha1 ou d’autres algorithmes pris en charge selon vos préférences.

2. Hachage récursif des fichiers dans un répertoire

Vous pouvez également hacher tous les fichiers d’un répertoire, y compris les sous-répertoires, à l’aide de l’indicateur -r (récursif) :

hashdeep -c sha256 -r /path/to/your/directory

3. Enregistrement des hachages dans un fichier

Si vous souhaitez enregistrer les hachages calculés dans un fichier pour une comparaison ultérieure, vous pouvez utiliser l’option -o pour spécifier un fichier de sortie :

hashdeep -r ravi > hashes.txt
cat hashes.txt

4. Vérification de l’intégrité des fichiers

L’une des utilisations les plus importantes de hashdeep est la vérification de l’intégrité des fichiers. Si vous disposez déjà d’une liste de hachages connus (par exemple, d’une session précédente), vous pouvez comparer les hachages de fichiers actuels à ces valeurs connues pour voir si des fichiers ont été modifiés.

Pour ce faire, utilisez la commande suivante pour vérifier les fichiers :

hashdeep -a -k hashes.txt -r /home/ravi/ravi

Cette commande vérifiera de manière récursive tous les fichiers du répertoire « ravi » par rapport aux hachages répertoriés dans hashes.txt, ce qui vous permettra de vérifier correctement leur intégrité.

5. Générer plusieurs hachages simultanément

Pour calculer plusieurs types de hachages (par exemple, MD5, SHA-1 et SHA-256) à la fois, vous pouvez spécifier plusieurs algorithmes avec l’indicateur -c :

hashdeep -c md5,sha1,sha256 -r /path/to/your/directory

Conclusion

Hashdeep est un outil polyvalent et puissant pour la vérification de l’intégrité des fichiers et l’investigation numérique. Sa prise en charge de plusieurs algorithmes de hachage, le hachage récursif de répertoires et la comparaison de fichiers en font un utilitaire indispensable pour quiconque travaille dans le domaine de la sécurité, de l’investigation ou de l’administration système.