Comment vérifier l'authenticité des images ISO Debian téléchargées

Il y a deux étapes pour vérifier l'authenticité des images ISO Debian téléchargées à partir des miroirs Debian :

1. Tout d'abord, nous devons vérifier la somme de contrôle du contenu de l'image du CD par rapport à ses fichiers de sommes de contrôle pertinents, s'il s'agit de MD5SUMS ou SHA512SUMS
2. Deuxièmement, nous devons vérifier les fichiers de sommes de contrôle réels pour une signature correcte en utilisant des signatures accompagnées telles que MD5SUMS.sign ou SHA512SUMS.sign

Pour commencer, téléchargez d'abord tous les fichiers pertinents, y compris les images ISO souhaitées, dans un seul répertoire. Dans ce cas, nous validerons l'authenticité de l'image du CD d'installation de Debian Net :

$ ls
MD5SUMS  MD5SUMS.sign  SHA512SUMS  SHA512SUMS.sign  debian-8.0.0-arm64-netinst.iso

La tâche à accomplir consiste à vérifier l'authenticité de l'image du CD d'installation réseau incluse debian-8.0.0-arm64-netinst.iso

Vérifier le contenu de l'image du CD

Pour vérifier le contenu de l'image du CD contre toute falsification, nous générons une somme de contrôle localement et la comparons à la somme de contrôle fournie par MD5SUMS et SHA512SUMS téléchargé depuis le miroir debian. Remarque, juste pour être complet, nous utilisons les deux méthodes MD5SUMS et SHA512SUMS .

MD5SUM
$ md5sum -c MD5SUMS 2> /dev/null | grep netinst
debian-8.0.0-arm64-netinst.iso: OK
SHA512SUMS
$ sha512sum -c SHA512SUMS 2> /dev/null | grep netinst
debian-8.0.0-arm64-netinst.iso: OK

Vérifier une signature correcte

Jusqu'à présent, tout a l'air génial. Ensuite, nous devons vérifier l'authenticité des MD5SUMS réels et SHA512SUMS fichiers de somme de contrôle que nous avons utilisés pour vérifier le contenu de notre image ISO Debian. Pour cela nous utiliserons gpg ( GNU Privacy Guard ). Tout d'abord, nous devons obtenir la clé publique de la personne qui a signé nos fichiers de somme de contrôle :

$ gpg --verify MD5SUMS.sign
gpg: assuming signed data in `MD5SUMS'
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found
$ gpg --verify SHA512SUMS.sign 
gpg: assuming signed data in `SHA512SUMS'
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found

La clé publique avec ID6294BE9B n'est actuellement pas disponible sur notre système, nous devons donc le télécharger d'abord directement à partir du serveur de trousseau de clés Debian :

$ gpg --keyserver keyring.debian.org --recv 6294BE9B
gpg: keyring `/root/.gnupg/secring.gpg' created
gpg: requesting key 6294BE9B from hkp server keyring.debian.org
gpg: /root/.gnupg/trustdb.gpg: trustdb created
gpg: key 6294BE9B: public key "Debian CD signing key " imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)

À ce stade, nous sommes en mesure de vérifier une signature pour les deux fichiers de somme de contrôle :

$ gpg --verify MD5SUMS.sign MD5SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
$ gpg --verify SHA512SUMS.sign SHA512SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B

Le message gpg: Good signature from "Debian CD signing key " confirme que l'image du CD Debian appartient à qui elle prétend appartenir. En guise de conclusion, essayons un simple test de falsification avec MD5SUMS fichier et modifiez un seul caractère dans ce fichier en utilisant vim éditeur :

$ vi MD5SUMS
$ gpg --verify MD5SUMS.sign MD5SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: BAD signature from "Debian CD signing key "