Как проверить целостность и аутентичность ISO-образа Linux

Проверка ISO-образов является важным шагом для обеспечения целостности и аутентичности загруженных файлов, особенно для дистрибутивов Linux. Процесс включает в себя проверку значения хэша или цифровой подписи загруженного ISO на соответствие известному допустимому значению, предоставленному официальным веб-сайтом дистрибутива. В этой статье мы объясним, как проверить ISO-образы в Linux, на примере.

Зачем нам нужно проверять целостность и аутентичность ISO-образа Linux?

Важно проверить целостность и аутентичность ISO-образа, чтобы убедиться, что загруженный файл является точной копией оригинала и не был подделан.

Проверка целостности: Это подтверждает, что ISO-образ был загружен правильно и является точной копией файла на серверах загрузки. Ошибка во время загрузки может привести к повреждению файла, что приведет к проблемам во время установки.

Проверка подлинности: проверяет, что ISO-образ подписан соответствующим поставщиком дистрибутива (например, Linux Mint) и не является измененной или вредоносной копией.

Проверка ISO-образа защищает вашу систему от потенциальных проблем, вызванных поврежденными или вредоносными файлами.

Проверка целостности ISO-образов Linux

1. Загрузите ISO-образ:

Сначала загрузите файл ISO-образа желаемого дистрибутива Linux с официального веб-сайта. Для целей этой статьи мы будем использовать последнюю версию openSUSE Leap ISO, загруженную с официального сайта.

2. Загрузите файл контрольной суммы:

Вместе с ISO-образом вам также необходимо загрузить соответствующий файл контрольной суммы (обычно файл .sha256 или .md5). Этот файл содержит криптографические хэш-значения для ISO-образа.

3. Вычислите контрольную сумму:

Получив ISO-образ и файл контрольной суммы, вы можете использовать утилиту типа sha256sum или md5sum для вычисления хэш-значения загруженного ISO-образа.

Пример:

$ sha256sum openSUSE-Leap-15.6-DVD-x86_64-Media.iso 
ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d openSUSE-Leap-15.6-DVD-x86_64-Media.iso

4. Сравните контрольные суммы:

Сравните вычисленное значение хэша с тем, которое указано в файле контрольной суммы, который вы загрузили. Если значения совпадают, это означает, что ISO-образ не поврежден и не модифицирован в процессе загрузки.

Пример:

Откройте файл контрольной суммы (например, openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256)

$ cat openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 
ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d openSUSE-Leap-15.6-DVD-x86_64-Media.iso

В этом примере вычисленное хэш-значение (ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d) совпадает с указанным в файле .sha256, что указывает на то, что загруженный ISO-образ openSUSE Leap 15.6 является подлинным и не подвергался подделке.

Если значения хэша не совпадают, это означает, что ISO-образ был поврежден или изменен, и вам следует загрузить его снова из официального источника.

Некоторые дистрибутивы Linux также предоставляют подписи GPG (GNU Privacy Guard) для своих ISO-образов. В таких случаях вы можете использовать команду gpg для проверки цифровой подписи, гарантируя, что ISO-образ действительно был выпущен официальными разработчиками дистрибутива.

Сравните контрольные суммы с помощью команды sha256sum

Ручное сравнение контрольных сумм может быть утомительным и чреватым ошибками, особенно при работе с длинными хэш-значениями. К счастью, есть более удобный способ автоматизировать процесс проверки с помощью одной команды.

Большинство дистрибутивов Linux предоставляют удобную опцию автоматической проверки ISO-образа по файлу контрольной суммы. Вот как вы можете это сделать:

1. Загрузите ISO-образ и файл контрольной суммы:

Загрузите ISO-образ и соответствующий файл контрольной суммы (например, SHA256SUMS или MD5SUMS) с официального веб-сайта.

2. Используйте -c опцию с утилитой проверки суммы:

Опция -c указывает утилите checksum (sha256sum, md5sum и т.д.) считывать контрольные суммы из файла и проверять целостность соответствующих файлов.

Пример:

$ sha256sum -c openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 
openSUSE-Leap-15.6-DVD-x86_64-Media.iso: ОК

В этом примере команда sha256sum считывает контрольные суммы из файла openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 и сравнивает их с фактическим файлом ISO-образа (openSUSE-Leap-15.6-DVD-x86_64-Media.iso). Если контрольные суммы совпадают, будет выдан результат OK, указывающий, что ISO-образ является подлинным и не подвергался подделке.

Если контрольные суммы не совпадают, вы увидите сообщение об ошибке, подобное этому:

$ sha256sum -c openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256
openSUSE-Leap-15.6-DVD-x86_64-Media.iso: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

Вот еще один пример.

Команда Linux Mint предоставляет файл sha256sum.txt вместе с файлом ISO. Вы можете проверить подлинность ISO-файла, используя файл sha256sum.txt, как показано ниже:

$ sha256sum -c sha256sum.txt 
linuxmint-22-cinnamon-64bit-beta.iso: OK

Эта команда проверит контрольную сумму ISO-файла SHA-256 на соответствие значению, указанному в файле sha256sum.txt.

Если контрольные суммы совпадают, отобразится «OK«. Это означает, что ISO-файл является подлинным и не подвергался подделке.

Этот автоматизированный подход избавляет вас от необходимости вручную сравнивать контрольные суммы и снижает вероятность человеческой ошибки.

Несколько ключевых моментов, которые следует запомнить:

• При выполнении команды убедитесь, что вы находитесь в том же каталоге, что и ISO-образ и файл контрольной суммы.
• Файл контрольной суммы должен иметь правильное соглашение об именовании (например, SHA256SUMS для контрольных сумм SHA-256, MD5SUMS для контрольных сумм MD5).
• Если контрольные суммы не совпадают, вам следует повторно загрузить ISO-образ из официального источника.

Используя опцию -c с утилитой checksum, вы можете легко и надежно проверить целостность загруженных ISO-образов, обеспечивая безопасный и заслуживающий доверия процесс установки.

Проверить подлинность файла sha256sum.txt

Как мы уже говорили, файл  sha256sum.txt содержит контрольные суммы, которые используются для проверки целостности ISO-образа Linux. Если бы этот файл был подделан, злоумышленник мог бы распространить измененный ISO-образ, который выглядит законным, но на самом деле содержит вредоносный код.

Проверяя подлинность файла sha256sum.txt, вы можете быть уверены, что содержащиеся в нем контрольные суммы являются подлинными и не были изменены. Это дает вам уверенность в том, что загружаемый вами ISO-образ действительно был выпущен официальной командой и не подвергался подделке.

Чтобы проверить подлинность sha256sum.txt, вам необходимо проверить подпись sha256sum.txt.gpg. Этот процесс гарантирует, что файл sha256sum.txt, который содержит контрольные суммы, используемые для проверки целостности ISO-образа, не был изменен.

Для целей этого руководства я буду использовать последнюю версию Linux Mint 22 ISO.

1. Импортируйте ключ подписи Linux Mint:

Сначала вам необходимо импортировать ключ подписи Linux Mint в вашу систему. Это можно сделать с помощью следующей команды:

gpg --keyserver hkp://keys.openpgp.org:80 --recv-key 27DEB15644C6B3CF3BD7D291300F846BA25BAE09

Затем вы можете проверить, был ли ключ правильно импортирован, используя следующую команду:

gpg --list-key --with-fingerprint A25BAE09

Выходные данные должны содержать 27DE B156 44C6 B3CF 3BD7 D291 300F 846B A25B AE09.

2. Проверьте подлинность sha256sum.txt:

После импорта ключа вы можете проверить подлинность файла  sha256sum.txt  помощью следующей команды:

gpg --verify sha256sum.txt.gpg sha256sum.txt

Выходные данные должны подтверждать, что подпись файла «хорошая» и что он был подписан правильным ключом (27DEB15644C6B3CF3BD7D291300F846BA25BAE09).

Вы можете получить предупреждение о том, что ваш компьютер не доверяет подписи Linux Mint. Это нормально и ожидаемо.

Проверка ISO-образов с помощью Linux Mint

Если вы используете Linux Mint, в нем есть встроенный инструмент для проверки ISO-образов. К инструменту можно получить доступ, щелкнув правой кнопкой мыши ISO-образ и выбрав «Подтвердить».

В качестве альтернативы, с файлом ISO можно использовать инструмент командной строки mint-iso-verify. Например, для проверки файла ISO с именем «linux-mint.iso» можно использовать команду:

mint-iso-verify linux-mint.iso

Заключение

Проверка ISO-образов ОЧЕНЬ ВАЖНА для поддержания целостности и безопасности дистрибутива Linux, который вы собираетесь установить. Рекомендуется всегда проверять контрольные суммы или цифровые подписи перед продолжением установки.

(1 оценок, среднее: 5,00 из 5)

Загрузка...