Vous venez de télécharger une image ISO de votre distribution Linux préférée depuis le site officiel ou un site tiers, et maintenant ? Créer un support de démarrage et commencer à installer le système d'exploitation ? Non attends. Avant de commencer à l'utiliser, il est fortement recommandé de vérifier que l'ISO téléchargée dans votre système local est la copie exacte de l'ISO présente dans les miroirs de téléchargement. Parce que le site Web de Linux Mint est piraté il y a quelques années et les pirates ont créé une ISO Linux Mint modifiée, avec une porte dérobée. Il est donc important de vérifier l'authenticité et l'intégrité de vos images ISO Linux. Si vous ne savez pas comment vérifier les images ISO sous Linux, ce bref guide vous aidera. Continuez à lire !
Vérifier les images ISO sous Linux
Nous pouvons vérifier les images ISO à l'aide de la somme de contrôle valeurs. La somme de contrôle est une séquence de lettres et de chiffres utilisée pour rechercher des erreurs dans les données et vérifier l'authenticité et l'intégrité des fichiers téléchargés. Il existe différents types de sommes de contrôle, telles que SHA-0, SHA-1, SHA-2 (224, 256, 384, 512) et MD5. Les sommes MD5 ont été les plus populaires, mais de nos jours, les sommes SHA-256 sont principalement utilisées par les distributions Linux modernes.
Nous allons utiliser deux outils à savoir "gpg" et "sha256" pour vérifier l'authenticité et l'intégrité des images ISO.
Télécharger les sommes de contrôle et les signatures
Pour les besoins de ce guide, je vais utiliser l'image ISO du serveur Ubuntu 18.04 LTS. Cependant, les étapes ci-dessous devraient également fonctionner sur d'autres distributions Linux.
Près du haut de la page de téléchargement d'Ubuntu, vous verrez quelques fichiers supplémentaires (sommes de contrôle et signatures) comme indiqué dans l'image suivante.
Somme de contrôle et signature Ubuntu 18.04
Ici, le SHA256SUMS le fichier contient des sommes de contrôle pour toutes les images disponibles et le SHA256SUMS.gpg file est la signature GnuPG de ce fichier. Nous utilisons ce fichier de signature pour vérifier le fichier de somme de contrôle dans les étapes suivantes.
Téléchargez les images ISO d'Ubuntu et ces deux fichiers et placez-les tous dans un répertoire, par exemple ISO .
$ ls ISO/ SHA256SUMS SHA256SUMS.gpg ubuntu-18.04.2-live-server-amd64.iso
Comme vous le voyez dans la sortie ci-dessus, j'ai téléchargé l'image du serveur Ubuntu 18.04.2 LTS avec la somme de contrôle et les valeurs de signature.
Télécharger une clé de signature valide
Maintenant, téléchargez la clé de signature correcte à l'aide de la commande :
$ gpg --keyid-format long --keyserver hkp://keyserver.ubuntu.com --recv-keys 0x46181433FBB75451 0xD94AA3F0EFE21092
Exemple de sortie :
gpg :clé D94AA3F0EFE21092 :57 signatures non vérifiées en raison de clés manquantesgpg :clé D94AA3F0EFE21092 :clé publique "Ubuntu CD Image Automatic Signing Key (2012) <[email protected]>" importégpg :clé 46181433FBB75451 :105 signatures non vérifiées en raison de clés manquantesgpg :clé 46181433FBB75451 :clé publique "Clé de signature automatique d'image de CD Ubuntu <[email protected]>"Vérifier la somme de contrôle SHA-256
Vérifiez ensuite le fichier de somme de contrôle à l'aide de la signature avec la commande :
$ gpg --keyid-format long --verify SHA256SUMS.gpg SHA256SUMSExemple de sortie :
gpg :Signature effectuée le vendredi 15 février 2019 à 04:23:33 ISTgpg :utilisation de la clé DSA 46181433FBB75451gpg :Bonne signature de "Ubuntu CD Image Automatic Signing Key <[email protected]>" [inconnu]gpg : ATTENTION :cette clé n'est pas certifiée avec une signature de confiance !gpg :rien n'indique que la signature appartient au propriétaire.Empreinte de la clé primaire :C598 6B4F 1257 FFA8 6632 CBA7 4618 1433 FBB7 5451gpg :Signature effectuée le vendredi 15 février 2019 à 04:23:33 ISTgpg :utilisation de la clé RSA D94AA3F0EFE21092gpg :Bonne signature extrait de "Ubuntu CD Image Automatic Signing Key (2012) <[email protected]>" [inconnu]gpg : ATTENTION :cette clé n'est pas certifiée avec une signature de confiance !gpg :rien n'indique que la signature appartient au propriétaire.Primaire empreinte digitale clé :8439 38DF 228D 22F7 B374 2BC0 D94A A3F0 EFE2 1092Si vous voyez "Bonne signature" dans la sortie, le fichier de somme de contrôle est créé par le développeur Ubuntu et signé par le propriétaire du fichier clé.
Vérifiez le fichier ISO téléchargé
Ensuite, continuons et vérifions que le fichier ISO téléchargé correspond à la somme de contrôle. Pour ce faire, lancez simplement :
$ sha256sum -c SHA256SUMS 2>&1 | grep OK ubuntu-18.04.2-live-server-amd64.iso :OKSi les valeurs de la somme de contrôle correspondent, vous verrez le "OK" message. Signification - le fichier téléchargé est légitime et n'a pas été modifié ou falsifié.
Si vous n'obtenez aucune sortie ou différente de la sortie ci-dessus, le fichier ISO a été modifié ou téléchargé de manière incorrecte. Vous devez retélécharger le fichier à partir d'une bonne source.
Certaines distributions Linux ont inclus la valeur de la somme de contrôle dans la page de téléchargement elle-même. Par exemple, Pop !_os les développeurs ont fourni les valeurs de somme de contrôle SHA-256 pour toutes les images ISO dans la page de téléchargement elle-même, afin que vous puissiez rapidement vérifier les images ISO.
Affichez la valeur de la somme SHA256 dans la page de téléchargement
Après avoir téléchargé l'image ISO, vérifiez-la à l'aide de la commande :
$ sha256sum Soft_backup/ISOs/pop-os_18.04_amd64_intel_54.isoExemple de sortie :
680e1aa5a76c86843750e8120e2e50c2787973343430956b5cbe275d3ec228a6 Soft_backup/ISOs/pop-os_18.04_amd64_intel_54.iso
Afficher la valeur de la somme SHA256
Ici, la chaîne aléatoire commençant par "680elaa..." est la valeur de la somme de contrôle SHA-256. Comparez cette valeur avec la valeur de somme SHA-256 fournie sur la page de téléchargement. Si les deux valeurs sont identiques, vous êtes prêt à partir ! Le fichier ISO téléchargé est légitime et il n'a pas changé ou modifié depuis son état d'origine.
C'est ainsi que nous pouvons vérifier l'authenticité et l'intégrité d'un fichier ISO sous Linux. Que vous téléchargiez des ISO à partir de sources officielles ou tierces, il est toujours recommandé de faire une vérification rapide avant de les utiliser. J'espère que cela vous a été utile.
Référence :
- https://tutorials.ubuntu.com/tutorial/tutorial-how-to-verify-ubuntu