Linuxでチェックサムを検証する方法

目的

GPGキーを使用してISOダウンロードの整合性を確認してください。

これはどのLinuxディストリビューションでも動作します。

* rootアクセスがある動作中のLinuxインストール。
* GPG

簡単

ダウンロードを確認することは非常に重要です。ほとんどのダウンロードは、署名されたGPGキーまたはチェックサムで確認できますが、ISOは特に重要です。最近、Linux Mintが大規模なセキュリティ侵害に見舞われ、破損したインストール用ISOを配布したことがあります。

ダウンロードをGPGキーで確認することは実際に非常に簡単なので、スキップする理由はありません。

最初にチェックするためのファイルが必要です。必要なISOがある場合は、それを取得してください。そうでない場合、このガイドではDebian ISOを使用します。

簡単にするために、wgetでダウンロードしてください。


cd ~/Downloads
wget https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-8.8.0-amd64-netinst.iso

ISOの署名を比較するためにキーが必要です。GPGがそれを処理できます。ファイルを作成した開発者のキーサーバーからキーを取得する必要があります。この場合はDebianです。

gpg --keyserver keyring.debian.org --recv-keys 0x673A03E4C1DB921F

GPGは、キーサーバーのアドレスとダウンロードするキーの両方を取得します。キーは、キーIDまたは次のようなフィンガープリントによって識別できます; 8439 38DF 228D 22F7 B374 2BC0 D94A A3F0 EFE2 1092.

すべてのウェブサイトは、ダウンロードに付随するチェックサムを異なる場所に配置します。中には、他よりも見つけやすいものもあります。

多くのディストリビューションと同様に、Debianはそれらをhttps://cdimage.debian.org/debian-cd/current/amd64/iso-cd/"リポジトリにISOsと共に配置しています。

ファイルの名前は常に同じではありません。DebianではそれらをSHA256SUMSとSHA256SUMS.signと呼びます。他のものは少し異なる名前で呼ぶかもしれません。

まだしていない場合は、それらのファイルをダウンロードしてください。

チェックサムファイルを入手したら、GPGを使ってそれらを確認できます。インポートしたキーの署名と一致するかどうかを確認するためのシンプルなコマンドを使用します。

gpg --verify SHA256SUMS.sign SHA256SUMS

有効な署名は良い署名を報告しますが、GPGが所有者を確認できるという警告も表示します。それは大丈夫です。

ついにファイル自体を確認する準備が整いました。ダウンロードして検証したSHA256SUMSファイルと照らし合わせるために、sha256sumツールを使用してください。

sha256sum -c SHA256SUMS 2>&1 | grep OK

チェックサムファイル以降はすべて省略できますが、必要のない余分な情報のログが表示されることになります。あなたが探しているのは、ファイルが「OK」と表示されることだけです。何も表示されない場合、それはファイルの署名がチェックサムと一致しなかったことを意味し、それは問題です。

ファイルの署名をチェックサムと照合するのは面倒かもしれませんが、事前にハッキングされたISOやバックドア付きのファイルをダウンロードしてしまったためにシステムが侵害されることに比べれば、その面倒さはずっと少ないです。