So überprüfen Sie Prüfsummen unter Linux

Objektiv

Überprüfen Sie die Integrität von ISO-Downloads mithilfe von GPG-Schlüsseln.

Ausschüttungen

Dies funktioniert mit jeder Linux-Distribution.

Anforderungen

* Eine funktionierende Linux-Installation mit Root-Zugriff.
* GPG

Schwierigkeit

Leicht

Konventionen

• # – erfordert, dass bestimmte Linux-Befehle mit Root-Rechten ausgeführt werden, entweder direkt als Root-Benutzer oder mit dem Befehl sudo
• $ – erfordert, dass bestimmte Linux-Befehle als normaler, nicht privilegierter Benutzer ausgeführt werden

Einleitung

Es ist wichtig, Ihre Downloads zu überprüfen. Die meisten Downloads können mit einem signierten GPG-Schlüssel oder einer Prüfsumme verifiziert werden, aber nur wenige sind so wichtig wie ISOs. Es ist noch gar nicht so lange her, dass Linux Mint eine große Sicherheitslücke erlitt und beschädigte Installations-ISOs ausgab.

Einen Download mit einem GPG-Schlüssel zu verifizieren ist eigentlich sehr einfach, es gibt also keinen Grund, ihn zu überspringen.

Laden Sie eine ISO herunter

Sie benötigen eine Datei, die Sie zuerst überprüfen können. Wenn Sie einen ISO-Wert benötigen, holen Sie sich diesen. Andernfalls wird in dieser Anleitung eine Debian-ISO verwendet.

Laden Sie es der Einfachheit halber einfach mit wget herunter.

cd ~/Downloads
wget https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-8.8.0-amd64-netinst.iso

Holen Sie sich die Schlüssel

Sie benötigen einen Schlüssel, mit dem Sie die Signatur auf der ISO-Datei vergleichen können. GPG kann damit umgehen. Sie müssen einen Schlüssel vom Schlüsselserver holen, der den Entwicklern gehört, die die Datei erstellt haben, in diesem Fall Debian.

gpg --keyserver keyring.debian.org --recv-keys 0x673A03E4C1DB921F

GPG verwendet sowohl die Adresse des Schlüsselservers als auch den/die Schlüssel(n), die heruntergeladen werden sollen. Der Schlüssel kann entweder durch die Schlüssel-ID oder einen Fingerabdruck identifiziert werden, der in etwa so aussieht. 8439 38DF 228D 22F7 B374 2BC0 D94A A3F0 EFE2 1092.

Holen Sie sich die Prüfsumme

Jede Website wird die Prüfsumme, die Ihren Download begleiten soll, an einer anderen Stelle platzieren. Einige machen es einfacher zu finden als andere.

Wie viele andere Distributionen legt Debian sie mit ihren ISOs im https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/"-Repository ab.

Die Dateien haben nicht immer die gleichen Namen. Debian nennt sie SHA256SUMS und SHA256SUMS.sign. Andere nennen sie vielleicht etwas anders.

Wenn Sie dies noch nicht getan haben, laden Sie diese Dateien herunter.

Prüfsumme prüfen

Sobald Sie die Prüfsummendateien haben, können Sie sie mit GPG überprüfen. Mit einem einfachen Befehl können Sie überprüfen, ob sie mit den Signaturen der von Ihnen importierten Schlüssel übereinstimmen.

gpg --verify SHA256SUMS.sign SHA256SUMS

Eine gültige Signatur meldet eine gute Signatur, gibt aber auch Warnungen, dass GPG den Eigentümer überprüfen kann. Das ist in Ordnung.

Überprüfen Sie die Datei

Sie sind endlich bereit, die Datei selbst zu überprüfen. Verwenden Sie das Tool sha256sum, um es mit der SHA256SUMS Datei abzugleichen, die Sie heruntergeladen und überprüft haben.

sha256sum -c SHA256SUMS 2>&1 | grep OK

Sie können alles nach der Prüfsummendatei weglassen, aber Sie erhalten ein Protokoll mit zusätzlichem Müll, den Sie nicht benötigen. Sie suchen nur, dass Ihre Datei "OK" anzeigt. Wenn Sie nichts sehen, bedeutet dies, dass die Signatur der Datei nicht mit der Prüfsumme übereinstimmt, und das ist schlecht.

Abschließende Gedanken

Die Signaturen Ihrer Dateien mit einer Prüfsumme abzugleichen, kann mühsam sein, aber es ist nicht annähernd so mühsam wie ein kompromittiertes System, weil Sie eine zuvor gehackte ISO-Datei oder eine Datei mit einer kostenlosen Hintertür heruntergeladen haben.