Jak zweryfikować pobranie w Ubuntu za pomocą SHA256 Hash lub GPG Key

Być może często pobierałeś oprogramowanie typu open source, na przykład różne wersje ISO systemu Linux. Podczas pobierania możesz również zauważyć link do pobrania pliku sumy kontrolnej. Do czego służy ten link? W rzeczywistości dystrybucje Linuksa dystrybuują pliki sum kontrolnych wraz ze źródłowymi plikami ISO, aby zweryfikować integralność pobranego pliku. Za pomocą sumy kontrolnej pliku można sprawdzić, czy pobrany plik jest autentyczny i nie został naruszony. Jest to szczególnie przydatne, gdy pobierasz plik skądś indziej niż z oryginalnej strony, takiej jak strony osób trzecich, w których istnieje większa szansa na manipulację plikiem. Zdecydowanie zaleca się sprawdzenie sumy kontrolnej podczas pobierania pliku od strony trzeciej.

W tym artykule przeprowadzimy kilka kroków, które pomogą Ci zweryfikować każde pobranie w systemie operacyjnym Ubuntu. W tym artykule używam Ubuntu 18.04 LTS do opisu procedury. Ponadto pobrałem ubuntu-18.04.2-desktop-amd64.iso i będzie on używany w tym artykule do procesu weryfikacji.

Istnieją dwie metody weryfikacji integralności pobranych plików. Pierwsza metoda polega na haszowaniu SHA256, która jest szybką, ale mniej bezpieczną metodą. Drugi to klucze gpg, które są bezpieczniejszą metodą sprawdzania integralności plików.

Weryfikuj pobieranie za pomocą SHA256 Hash

W pierwszej metodzie użyjemy haszowania do zweryfikowania naszego pobierania. Hashing to proces weryfikacji, który weryfikuje, czy pobrany plik w twoim systemie jest identyczny z oryginalnym plikiem źródłowym i nie został zmieniony przez osobę trzecią. Kroki metody są następujące:

Krok 1: Pobierz plik SHA256SUMS

Musisz znaleźć plik SHA256SUMS z oficjalnych kopii lustrzanych Ubuntu. Strona lustrzana zawiera dodatkowe pliki wraz z obrazami Ubuntu. Używam poniższego lustra do pobrania pliku SHA256SUMS:

http://releases.ubuntu.com/18.04/

Po znalezieniu pliku kliknij go, aby go otworzyć. Zawiera sumę kontrolną oryginalnego pliku dostarczonego przez Ubuntu.

Krok 2: Wygeneruj sumę kontrolną SHA256 pobranego pliku ISO

Teraz otwórz Terminal, naciskając kombinacje klawiszy Ctrl + Alt + T . Następnie przejdź do katalogu, w którym umieściłeś pobrany plik.

$ cd [ścieżka do pliku]

Następnie uruchom następującą komendę w Terminalu, aby wygenerować sumę kontrolną pobranego pliku ISO SHA256.

Krok 3: Porównaj sumę kontrolną w obu plikach.

Porównaj sumę kontrolną wygenerowaną przez system z sumą kontrolną podaną na oficjalnej stronie mirrorów Ubuntu. Jeśli suma kontrolna się zgadza, pobrany został autentyczny plik, w przeciwnym razie plik jest uszkodzony.

Sprawdź, czy pobrać śpiewać klucze gpg

Ta metoda jest bezpieczniejsza niż poprzednia. Zobaczmy, jak to działa. Kroki metody są następujące:

Krok 1: Pobierz SHA256SUMS i SHA256SUMS.gpg

Musisz znaleźć zarówno SHA256SUMS, jak i SHA256SUMS.gpg z dowolnego z serwerów lustrzanych Ubuntu. Po znalezieniu tych plików otwórz je.Kliknij prawym przyciskiem myszy i użyj opcji Zapisz jako opcji strony, aby je zapisać. Zapisz oba pliki w tym samym katalogu.

Krok 2: Znajdź klucz użyty do wystawienia podpisu

Uruchom terminal i przejdź do katalogu, w którym umieściłeś pliki sum kontrolnych.

$ cd [ścieżka do pliku]

Następnie uruchom następujące polecenie, aby sprawdzić, który klucz został użyty do wygenerowania podpisów.

$ gpg –verify SHA256SUMS.gpg SHA256SUMS

Możemy również użyć tego polecenia, aby zweryfikować podpisy. Ale w tej chwili nie ma klucza publicznego, więc zwróci komunikat o błędzie, jak pokazano na poniższym obrazku.

Patrząc na powyższe dane wyjściowe, możesz zobaczyć, że identyfikatorami kluczy są: 46181433FBB75451 i D94AA3F0EFE21092. Możemy użyć tych identyfikatorów, aby zażądać ich z serwera Ubuntu.

Krok 3: Zdobądź klucz publiczny serwera Ubuntu

Użyjemy powyższych identyfikatorów kluczy, aby poprosić o klucze publiczne z serwera Ubuntu. Można to zrobić, uruchamiając następujące polecenie w terminalu. Ogólna składnia polecenia jest następująca:

$ gpg –keyserver <keyserver-name –recv-keys <publicKey>

Teraz otrzymałeś klucze z serwera Ubuntu.

Krok 4: Zweryfikuj odciski palców

Teraz musisz zweryfikować odciski palców. W tym celu uruchom następujące polecenie w terminalu.

$ gpg --list-keys --with-fingerprint <0x-----> <0x------>

Krok 5: Zweryfikuj podpis

Teraz możesz uruchomić polecenie, aby zweryfikować podpis. Jest to ta sama komenda, której użyłeś wcześniej do znalezienia kluczy, które zostały użyte do wystawienia podpisu.

$ gpg --verify SHA256SUMS.gpg SHA256SUMS

Teraz możesz zobaczyć powyższy wynik. Wyświetla wiadomość Good podpis , która potwierdza integralność naszego pliku ISO. Jeśli się nie zgadzają, będzie wyświetlany jako ZŁY podpis .

Zauważysz także znak ostrzegawczy tylko dlatego, że nie masz kontrasygnacji kluczy i nie ma ich na liście zaufanych źródeł.

Ostatni krok

Teraz musisz wygenerować sumę kontrolną sha256 dla pobranego pliku ISO. Następnie dopasuj go do pliku SHA256SUM, który pobrałeś z serwerów lustrzanych Ubuntu. Upewnij się, że umieściłeś pobrany plik SHA256SUMS i SHA256SUMS.gpg w tym samym katalogu.

Uruchom następującą komendę w terminalu:

$ sha256sum -c SHA256SUMS 2>&1 | grep OK

Otrzymasz dane wyjściowe jak poniżej. Jeśli dane wyjściowe są inne, oznacza to, że pobrany plik ISO jest uszkodzony.

To wszystko, co musisz wiedzieć o weryfikacji pobierania w Ubuntu. Korzystając z opisanych powyżej metod weryfikacji, możesz potwierdzić, że pobrałeś autentyczny plik ISO, który nie jest uszkodzony i sfałszowany podczas pobierania.