¿Sigue siendo seguro usar MD5?
Para comprobar que una descarga llegó completa, sí: un daño accidental cambia el hash. Para demostrar que un archivo no fue manipulado, no, porque alguien puede construir un segundo archivo con el mismo MD5. Pide SHA-256 cuando la fuente lo ofrezca.
¿Cuál es el MD5 de un archivo vacío?
Es d41d8cd98f00b204e9800998ecf8427e. Verlo significa que lo que se procesó estaba vacío, a menudo una descarga que falló antes de recibir su primer byte.
¿Puedo pegar lo que imprimió certutil o Get-FileHash?
Sí, tal cual. Las tres líneas de certutil -hashfile setup.exe MD5 y la fila de la tabla de Get-FileHash -Algorithm MD5 funcionan: el hash se encuentra en cualquiera de las dos, con mayúsculas o sin ellas, y se compara con el tuyo.