Cómo verificar la autenticidad de las imágenes ISO de Debian descargadas

Hay dos pasos para verificar la autenticidad de las imágenes ISO de Debian descargadas desde las réplicas de Debian:

1. En primer lugar, debemos verificar la suma de verificación del contenido de la imagen del CD con sus archivos de sumas de verificación relevantes, ya sea que sea MD5SUMS o SHA512SUMS
2. En segundo lugar, debemos verificar los archivos de sumas de verificación reales para una firma correcta utilizando firmas acompañadas como MD5SUMS.sign o SHA512SUMS.sign

Para comenzar, primero descargue todos los archivos relevantes, incluidas las imágenes ISO deseadas, dentro de un solo directorio. En este caso, validaremos la autenticidad de la imagen del CD de instalación de red de Debian:

$ ls
MD5SUMS  MD5SUMS.sign  SHA512SUMS  SHA512SUMS.sign  debian-8.0.0-arm64-netinst.iso

La tarea en cuestión es verificar la autenticidad de la imagen del CD de instalación de red incluida debian-8.0.0-arm64-netinst.iso

Verificar el contenido de la imagen del CD

Para verificar el contenido de la imagen del CD contra cualquier manipulación, generamos una suma de verificación localmente y la comparamos con la suma de verificación proporcionada por MD5SUMS y SHA512SUMS descargado del espejo de debian. Tenga en cuenta que, solo para completar, hacemos ambos métodos MD5SUMS y SHA512SUMS .

MD5SUM
$ md5sum -c MD5SUMS 2> /dev/null | grep netinst
debian-8.0.0-arm64-netinst.iso: OK
SHA512SUMS
$ sha512sum -c SHA512SUMS 2> /dev/null | grep netinst
debian-8.0.0-arm64-netinst.iso: OK

Comprobar una firma correcta

Hasta ahora todo se ve muy bien. A continuación, debemos verificar la autenticidad del MD5SUMS real. y SHA512SUMS archivos de suma de comprobación que hemos utilizado para verificar el contenido de nuestra imagen ISO de Debian. Para esto usaremos gpg (GNU Privacy Guard) comando. Primero, necesitamos obtener la clave pública de la persona que firmó nuestros archivos de suma de verificación:

$ gpg --verify MD5SUMS.sign
gpg: assuming signed data in `MD5SUMS'
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found
$ gpg --verify SHA512SUMS.sign 
gpg: assuming signed data in `SHA512SUMS'
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found

La clave pública con ID6294BE9B actualmente no está disponible en nuestro sistema, por lo que debemos descargarlo primero directamente desde el servidor de claves de Debian:

$ gpg --keyserver keyring.debian.org --recv 6294BE9B
gpg: keyring `/root/.gnupg/secring.gpg' created
gpg: requesting key 6294BE9B from hkp server keyring.debian.org
gpg: /root/.gnupg/trustdb.gpg: trustdb created
gpg: key 6294BE9B: public key "Debian CD signing key " imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)

En este punto, estamos en condiciones de verificar una firma para ambos archivos de suma de comprobación:

$ gpg --verify MD5SUMS.sign MD5SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
$ gpg --verify SHA512SUMS.sign SHA512SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key "
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B

El mensaje gpg: Good signature from "Debian CD signing key " confirma que la imagen del CD de Debian pertenece a quien dice pertenecer. En cuanto a una conclusión, probemos una prueba de manipulación simple con MD5SUMS archivo y cambie un solo carácter dentro de este archivo usando vim redactor:

$ vi MD5SUMS
$ gpg --verify MD5SUMS.sign MD5SUMS
gpg: Signature made Sat Apr 25 23:44:18 2015 UTC using RSA key ID 6294BE9B
gpg: BAD signature from "Debian CD signing key "