Jak zweryfikować integralność ISO Debiana?

Niedawno pobrałem Debian 7.5.0 Wheezy i udało mi się użyć podpisu Release.sig do sprawdzenia integralności pliku sumy kontrolnej wydania za pomocą GPG4Win. Niestety nie mogłem znaleźć porady, gdzie znaleźć sumę kontrolną md5 / SHA1 / SHA256 w pliku Release, aby sprawdzić, czy ISO jest poprawne / nie zostało uszkodzone / zmanipulowane. Nie można również znaleźć pomocy dotyczącej tego konkretnego problemu na stronach pomocy technicznej. Korzystam z systemu Windows 7, jeśli jest to istotne.

Edycja: Nazwa mojego pliku ISO to „debian-7.5.0-amd64-netinst”. Inne wersje można znaleźć tutaj ( ftp://cdimage.debian.org/cdimage/release/7.5.0-live/amd64/iso-hybrid/ ) i oferują łatwiejszy sposób weryfikacji integralności dzięki temu plikowi: ftp: //cdimage.debian.org/cdimage/release/7.5.0-live/amd64/iso-hybrid/SHA256SUMS . Muszę znaleźć coś takiego w zweryfikowanym pliku Release.

Musisz sprawdzić, czy skrót pasuje do pobranego obrazu, a następnie sprawdzić, czy skrót został podpisany oficjalnym kluczem Debiana - jak wyjaśniono w tym poście na blogu .

1. Pobierz obraz dysku CD, skrót SHA 512 i podpis skrótu. Nie ma znaczenia, skąd je masz, ze względu na podpis, który zweryfikujemy poniżej. Ale możesz go pobrać z debian.org .

2. Sprawdź, czy skrót pasuje do obrazu (żadne z tych poleceń nie powinno niczego drukować):

   $ sha512sum debian-8.3.0-amd64-i386-netinst.iso > my_hash.txt
   $ diff -q my_hash.txt SHA512SUMS.txt
   

3. Sprawdź, czy skrót jest poprawnie podpisany. Prawdopodobnie będziesz musiał to zrobić dwa razy: raz, aby uzyskać identyfikator klucza, i ponownie po pobraniu klucza publicznego. Dane wyjściowe polecenia powinny wyglądać podobnie do tego:

   $ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt
   gpg: Signature made Mon 25 Jan 2016 05:08:46 AEDT using RSA key ID 6294BE9B
   gpg: Can't check signature: public key not found
   $ gpg --keyserver keyring.debian.org --recv 6294BE9B
   gpg: requesting key 6294BE9B from hkp server keyring.debian.org
   gpg: key 6294BE9B: public key "Debian CD signing key <debian-cd@lists.debian.org>" imported
   gpg: no ultimately trusted keys found
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)
   $ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt
   gpg: Signature made Mon 25 Jan 2016 05:08:46 AEDT using RSA key ID 6294BE9B
   gpg: Good signature from "Debian CD signing key <debian-cd@lists.debian.org>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
   

4. Sprawdź, czy kluczowy odcisk palca (ostatni wydrukowany wiersz) jest prawidłowy. Najlepiej byłoby to zrobić za pośrednictwem sieci zaufania . Możesz jednak sprawdzić odcisk palca klucza względem kluczy wymienionych na bezpiecznej stronie internetowej Debiana (HTTPS).

Spójrz na http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/

Netinst ISO znajduje się na stronie http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-7.5.0-amd64-netinst.iso .

Możesz znaleźć md5sum w http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/MD5SUMS .

Odpowiednia linia to:

8fdb6715228ea90faba58cb84644d296  debian-7.5.0-amd64-netinst.iso