Comment vérifier l'intégrité et l'authenticité d'une image ISO Linux

Vérification des images ISO est une étape essentielle pour garantir l'intégrité et l'authenticité des fichiers téléchargés, en particulier pour les distributions Linux. Le processus consiste à vérifier la valeur de hachage ou la signature numérique de l'ISO téléchargée par rapport à la valeur légitime connue fournie par le site officiel de la distribution. Dans ce guide, j'expliquerai comment vérifier les images ISO sous Linux, avec un exemple.

Pourquoi devons-nous vérifier l'intégrité et l'authenticité d'une image ISO Linux ?

Il est important de vérifier l'intégrité et l'authenticité d'une image ISO pour s'assurer que le fichier téléchargé est une copie fidèle de l'original et qu'il n'a pas été manipulé.

Vérification de l'intégrité : Cela confirme que l'image ISO a été correctement téléchargée et qu'elle est une copie exacte du fichier sur les serveurs de téléchargement. Une erreur lors du téléchargement pourrait entraîner un fichier corrompu, provoquant des problèmes lors de l'installation.

Vérification d'authenticité : Cela vérifie que l'image ISO a été signée par le fournisseur de distribution respectif (par exemple Linux Mint) et qu'il ne s'agit pas d'une copie modifiée ou malveillante.

Vérifier l'image ISO protège votre système des problèmes potentiels causés par des fichiers corrompus ou malveillants.

Vérifier l'intégrité des images ISO Linux

1. Téléchargez l'image ISO:

Tout d'abord, téléchargez le fichier image ISO de la distribution Linux de votre choix depuis le site officiel. Pour les besoins de ce guide, j'utiliserai la dernière ISO d'openSUSE Leap téléchargée depuis le site officiel.

2. Téléchargez le fichier de somme de contrôle:

En plus de l'image ISO, vous devrez également télécharger le fichier de somme de contrôle correspondant (généralement un fichier .sha256 ou .md5). Ce fichier contient les valeurs de hachage cryptographique pour l'image ISO.

3. Calculer la somme de contrôle :

Une fois que vous avez à la fois l'image ISO et le fichier de somme de contrôle, vous pouvez utiliser un utilitaire comme sha256sum ou md5sum pour calculer la valeur de hachage de l'image ISO téléchargée.

Exemple:

$ sha256sum openSUSE-Leap-15.6-DVD-x86_64-Media.iso
ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d  openSUSE-Leap-15.6-DVD-x86_64-Media.iso

4. Comparez les sommes de contrôle:

Comparez la valeur de hachage calculée avec celle fournie dans le fichier de somme de contrôle que vous avez téléchargé. Si les valeurs correspondent, cela signifie que l'image ISO est intacte et n'a pas été corrompue ou modifiée pendant le processus de téléchargement.

Exemple:

Ouvrez le fichier de somme de contrôle (par exemple, openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256)

$ cat openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 
ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d openSUSE-Leap-15.6-DVD-x86_64-Media.iso

Dans cet exemple, la valeur de hachage calculée (ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d) correspond à celle indiquée dans le fichier .sha256, ce qui indique que l'image ISO openSUSE Leap 15.6 téléchargée est authentique et n'a pas été altérée.

Si les valeurs de hachage ne correspondent pas, cela signifie que l'image ISO a été corrompue ou modifiée, et vous devriez la télécharger à nouveau depuis la source officielle.

Certaines distributions Linux fournissent également des signatures GPG (GNU Privacy Guard) pour leurs images ISO. Dans de tels cas, vous pouvez utiliser la commande gpg pour vérifier la signature numérique, garantissant que l'image ISO a bien été publiée par les responsables officiels de la distribution.

Comparer les sommes de contrôle en utilisant la commande sha256sum

Comparer manuellement les sommes de contrôle peut être fastidieux et sujet à des erreurs, surtout lorsqu'il s'agit de valeurs de hachage longues. Heureusement, il existe un moyen plus pratique d'automatiser le processus de vérification en utilisant une seule commande.

La plupart des distributions Linux offrent une option pratique pour vérifier automatiquement l'image ISO par rapport au fichier de somme de contrôle. Voici comment vous pouvez le faire :

1. Téléchargez l'image ISO et le fichier de somme de contrôle :

Téléchargez l'image ISO et le fichier de somme de contrôle correspondant (par exemple, SHA256SUMS ou MD5SUMS) depuis le site officiel.

2. Utilisez l'option -c avec l'utilitaire de somme de contrôle :

L'option -c indique à l'utilitaire de somme de contrôle (sha256sum, md5sum, etc.) de lire les sommes de contrôle à partir d'un fichier et de vérifier l'intégrité des fichiers correspondants.

Exemple:

$ sha256sum -c openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256
openSUSE-Leap-15.6-DVD-x86_64-Media.iso: OK

Dans cet exemple, la commande sha256sum lit les sommes de contrôle à partir du fichier openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 et les compare avec le fichier image ISO réel (openSUSE-Leap-15.6-DVD-x86_64-Media.iso). Si les sommes de contrôle correspondent, elle affichera OK, indiquant que l'image ISO est authentique et n'a pas été altérée.

Si les sommes de contrôle ne correspondent pas, vous verrez un message d'erreur comme celui-ci :

$ sha256sum -c openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256
openSUSE-Leap-15.6-DVD-x86_64-Media.iso: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

Voici un autre exemple.

L'équipe de Linux Mint fournit un fichier sha256sum.txt avec le fichier ISO. Vous pouvez vérifier l'authenticité du fichier ISO en utilisant le fichier sha256sum.txt comme suit :

$ sha256sum -c sha256sum.txt 
linuxmint-22-cinnamon-64bit-beta.iso: OK

Cette commande vérifiera la somme de contrôle SHA-256 du fichier ISO par rapport à la valeur spécifiée dans le fichier sha256sum.txt.

Si les sommes de contrôle correspondent, il affichera « OK ». Cela signifie que le fichier ISO est authentique et n'a pas été altéré.

Cette approche automatisée vous évite de comparer manuellement les sommes de contrôle et réduit les risques d'erreur humaine.

Quelques points clés à retenir :

• Assurez-vous d'être dans le même répertoire que l'image ISO et le fichier de somme de contrôle lorsque vous exécutez la commande.
• Le fichier de somme de contrôle doit avoir la convention de nommage correcte (par exemple, SHA256SUMS pour les sommes de contrôle SHA-256, MD5SUMS pour les sommes de contrôle MD5).
• Si les sommes de contrôle ne correspondent pas, vous devriez télécharger à nouveau l'image ISO depuis la source officielle.

En utilisant l'option -c avec l'utilitaire de somme de contrôle, vous pouvez facilement et de manière fiable vérifier l'intégrité des images ISO téléchargées, garantissant ainsi un processus d'installation sûr et fiable.

Vérifier l'authenticité du fichier sha256sum.txt

Comme je l'ai déjà indiqué, un fichier sha256sum.txt contient les sommes de contrôle qui sont utilisées pour vérifier l'intégrité d'une image ISO Linux. Si ce fichier était altéré, un attaquant pourrait distribuer une image ISO modifiée qui semble légitime mais contient en réalité du code malveillant.

En vérifiant l'authenticité du fichier sha256sum.txt, vous pouvez être sûr que les sommes de contrôle qu'il contient sont authentiques et n'ont pas été modifiées. Cela vous donne l'assurance que l'image ISO que vous téléchargez est bien celle qui a été réellement publiée par l'équipe officielle et n'a pas été altérée.

Pour vérifier l'authenticité de sha256sum.txt, vous devez vérifier la signature de sha256sum.txt.gpg. Ce processus garantit que le fichier sha256sum.txt, qui contient les sommes de contrôle utilisées pour vérifier l'intégrité de l'image ISO, n'a pas été altéré.

Pour les besoins de ce guide, j'utiliserai le dernier ISO de Linux Mint 22.

1. Importez la clé de signature de Linux Mint :

Vous devez d'abord importer la clé de signature de Linux Mint sur votre système. Cela peut être fait en utilisant la commande suivante :

gpg --keyserver hkp://keys.openpgp.org:80 --recv-key 27DEB15644C6B3CF3BD7D291300F846BA25BAE09

Vous pouvez alors vérifier si la clé a été correctement importée en utilisant la commande suivante :

gpg --list-key --with-fingerprint A25BAE09

La sortie doit contenir 27DE B156 44C6 B3CF 3BD7 D291 300F 846B A25B AE09.

2. Vérifiez l'authenticité de sha256sum.txt :

Une fois la clé importée, vous pouvez vérifier l'authenticité du fichier sha256sum.txt en utilisant la commande suivante :

gpg --verify sha256sum.txt.gpg sha256sum.txt

La sortie doit confirmer que la signature du fichier est "bonne" et qu'elle a été signée avec la clé correcte (27DEB15644C6B3CF3BD7D291300F846BA25BAE09).

Vous pouvez recevoir un avertissement indiquant que la signature de Linux Mint n'est pas reconnue par votre ordinateur. C'est normal et attendu.

Vérifier les images ISO avec Linux Mint

Si vous utilisez Linux Mint, il dispose d'un outil intégré pour vérifier les images ISO. L'outil peut être accessible en cliquant avec le bouton droit sur l'image ISO et en sélectionnant « Vérifier ».

Alternativement, l'outil en ligne de commande mint-iso-verify peut être utilisé avec le fichier ISO. Par exemple, pour vérifier un fichier ISO nommé "linux-mint.iso", on utiliserait la commande :

mint-iso-verify linux-mint.iso

Conclusion

Vérifier les images ISO est TRÈS IMPORTANT pour maintenir l'intégrité et la sécurité de la distribution Linux que vous êtes sur le point d'installer. Il est recommandé de toujours vérifier les sommes de contrôle ou les signatures numériques avant de procéder à l'installation.