ダウンロードしたDebianISOイメージの信憑性を検証する方法

DebianミラーからダウンロードされたDebianISOイメージの信頼性を検証するための2つのステップがあります：

1. 最初に、CDイメージコンテンツのチェックサムを、関連するチェックサムファイルと照合してMD5SUMSであるかどうかを確認する必要があります。 またはSHA512SUMS
2. 次に、MD5SUMS.signなどの付随する署名を使用して、実際のチェックサムファイルの正しい署名を確認する必要があります。 またはSHA512SUMS.sign

開始するには、最初に、単一のディレクトリ内の目的のISOイメージを含むすべての関連ファイルをダウンロードします。この場合、debianネットインストールCDイメージの信頼性を検証します：

$ ls
MD5SUMS  MD5SUMS.sign  SHA512SUMS  SHA512SUMS.sign  debian-8.0.0-arm64-netinst.iso

手元のタスクは、含まれているネットインストールCDイメージ debian-8.0.0-arm64-netinst.isoの信頼性を確認することです。

CDイメージの内容を確認する

CDイメージのコンテンツを改ざんに対して検証するために、ローカルでチェックサムを生成し、MD5SUMSによって提供されるチェックサムと照合します。 およびSHA512SUMS Debianミラーからダウンロード。完全を期すために、両方のメソッドMD5SUMSを実行することに注意してください。 およびSHA512SUMS 。

MD5SUM
$ md5sum -c MD5SUMS 2> /dev/null | grep netinst
debian-8.0.0-arm64-netinst.iso: OK
SHA512SUMS
$ sha512sum -c SHA512SUMS 2> /dev/null | grep netinst
debian-8.0.0-arm64-netinst.iso: OK

正しい署名を確認してください

これまでのところ、すべてが素晴らしく見えます。次に、実際のMD5SUMSの信頼性を検証する必要があります およびSHA512SUMS DebianISOイメージのコンテンツを検証するために使用したチェックサムファイル。このために、gpgを使用します （GNU Privacy Guard）コマンド。まず、チェックサムファイルに署名した人の公開鍵を取得する必要があります：

$ gpg --verify MD5SUMS.sign
gpg: assuming signed data in `MD5SUMS'
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found
$ gpg --verify SHA512SUMS.sign 
gpg: assuming signed data in `SHA512SUMS'
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found

ID 6294BE9Bの公開鍵 現在、システムでは利用できないため、最初にDebianキーリングサーバーから直接ダウンロードする必要があります：

$ gpg --keyserver keyring.debian.org --recv 6294BE9B
gpg: keyring `/root/.gnupg/secring.gpg' created
gpg: requesting key 6294BE9B from hkp server keyring.debian.org
gpg: /root/.gnupg/trustdb.gpg: trustdb created
gpg: key 6294BE9B: public key "Debian CD signing key " imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)

この時点で、両方のチェックサムファイルの署名を検証することができます。

$ gpg --verify MD5SUMS.sign MD5SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
$ gpg --verify SHA512SUMS.sign SHA512SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B

メッセージgpg: Good signature from "Debian CD signing key " DebianCDイメージが属していると主張する人に属していることを確認します。結論として、MD5SUMSを使用した簡単な改ざんテストを試してみましょう。 ファイルを作成し、vimを使用してこのファイル内の1文字を変更します 編集者：

$ vi MD5SUMS
$ gpg --verify MD5SUMS.sign MD5SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: BAD signature from "Debian CD signing key "