Calculadora de soma de verificação CRC32

O que é uma soma de verificação CRC32

A verificação de redundância cíclica (CRC) trata a entrada como um único polinômio binário longo, divide-o por um polinômio gerador fixo e guarda o resto. No CRC-32, o resto tem 32 bits e costuma ser escrito como 8 dígitos hex ou como um número sem sinal de 0 a 4.294.967.295. Quase qualquer alteração nos dados muda o resto.

Os CRCs são projetados para os erros que cabos, rádios e discos reais produzem. O CRC-32 detecta qualquer rajada de bits corrompidos com até 32 bits de extensão, e uma corrupção aleatória só passa despercebida cerca de uma vez em 4,3 bilhões de casos. Ele também é muito rápido de calcular, e é por isso que está embutido no ZIP, no gzip, no PNG e nos quadros Ethernet.

CRC-32 e CRC-32C

Os dois começam em 0xFFFFFFFF, processam os bits de cada byte a partir do menos significativo e invertem o valor final; só o polinômio muda, então os mesmos dados geram dois resultados sem relação entre si. O primeiro é o que a maioria das ferramentas chama de "CRC32" e está catalogado como CRC-32/ISO-HDLC. O CRC-32C foi adotado mais tarde por protocolos de armazenamento e de rede por detectar erros melhor. O Google Cloud Storage informa o CRC-32C, e o Amazon S3 qualquer uma das duas variantes, como Base64 dos quatro bytes em ordem big-endian, que é exatamente o que a saída Base64 mostra.

Uma soma de verificação, não uma verificação de segurança

Um CRC protege contra acidentes, não contra ataques. Ele é uma função linear, então qualquer pessoa pode modificar um arquivo e depois ajustar quatro bytes para manter o CRC-32 inalterado. Um CRC que confere, portanto, não prova nada sobre adulteração deliberada. Para verificar um download, compare um hash SHA-256 obtido de uma fonte confiável; para provar quem enviou uma mensagem, use um HMAC.

Além disso, 32 bits são poucos demais para identificar dados. Entre cerca de 77.000 arquivos aleatórios, a chance de dois terem o mesmo CRC-32 já chega a 50%, então não o use como ID único nem como chave de deduplicação. Quando não há atacante envolvido, o MD5 ou o SHA-256 servem muito melhor como impressão digital.

CRC32 no código

# Python: zlib.crc32 não tem sinal no Python 3;
# "& 0xffffffff" só é necessário no Python 2
import zlib
format(zlib.crc32(b'123456789'), '08x')    # 'cbf43926'

// Node.js 20.15+ e 22.2+
require('zlib').crc32('123456789').toString(16).padStart(8, '0')   // 'cbf43926'

// Go (import "hash/crc32")
crc32.ChecksumIEEE(data)                                   // CRC-32
crc32.Checksum(data, crc32.MakeTable(crc32.Castagnoli))    // CRC-32C

// Java: java.util.zip.CRC32 e, desde o Java 9, java.util.zip.CRC32C

// PHP
sprintf('%08x', crc32('123456789'));   // 'cbf43926'
hash('crc32b', '123456789');           // 'cbf43926', o mesmo CRC-32
hash('crc32c', '123456789');           // 'e3069283'
hash('crc32', '123456789');            // '181989fc', outro CRC

Atenção aos nomes no PHP: o algoritmo de hash chamado crc32 não é a soma de verificação do ZIP, e sim o CRC usado pelo bzip2, exibido em ordem de bytes invertida. Use crc32b ou a função crc32() para obter o mesmo resultado do ZIP, do gzip e desta ferramenta. O comando Unix cksum usa ainda outra variante, que também incorpora o tamanho do arquivo, então o número dele não vai coincidir com nenhum dos dois.