Comment vérifier les sommes de contrôle sous Linux

Objectif

Vérifiez l’intégrité des téléchargements ISO à l’aide des clés GPG.

Distributions

Cela fonctionnera avec n’importe quelle distribution Linux.

Exigences

* Une installation Linux fonctionnelle avec root access.
* GPG

Difficulté

Facile

Conventions

# – nécessite que les commandes Linux données soient exécutées avec les privilèges root, soit directement en tant qu’utilisateur root, soit en utilisant la commande sudo
$ – nécessite que des commandes Linux données soient exécutées en tant qu’utilisateur régulier non privilégié

Introduction

Il est crucial de vérifier vos téléchargements. La plupart des téléchargements peuvent être vérifiés à l’aide d’une clé GPG signée ou d’une somme de contrôle, mais peu sont aussi importants que les ISO. Il n’y a pas si longtemps, Linux Mint a subi une faille de sécurité majeure et a distribué des ISO d’installation corrompus.

Vérifier un téléchargement avec sa clé GPG est en fait très simple, il n’y a donc aucune raison de l’ignorer.

Télécharger une ISO

Vous avez besoin d’un fichier à vérifier en premier. S’il y a un ISO dont vous avez besoin, saisissez-le. Sinon, ce guide utilisera une ISO Debian.

Il suffit de le télécharger avec wget pour plus de simplicité.


cd ~/Downloads
wget https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-8.8.0-amd64-netinst.iso

Obtenez les clés

Vous allez avoir besoin d’une clé pour comparer la signature sur l’ISO. GPG peut s’en charger. Vous devez récupérer une clé du serveur de clés appartenant aux développeurs qui ont créé le fichier, dans ce cas, Debian.

gpg --keyserver keyring.debian.org --recv-keys 0x673A03E4C1DB921F

GPG prend à la fois l’adresse du serveur de clés et la ou les clés à télécharger. La clé peut être identifiée soit par l’ID de la clé, soit par une empreinte digitale qui ressemble à ceci ; 8439 38DF 228D 22F7 B374 2BC0 D94A A3F0 EFE2 1092.

Obtenez la somme de contrôle

Chaque site Web va placer la somme de contrôle qui doit accompagner votre téléchargement à un endroit différent. Certains le rendent plus facile à trouver que d’autres.

Comme beaucoup de distributions, Debian les place dans le dépôt https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/" avec leurs ISO.

Les fichiers ne sont pas toujours nommés de la même manière. Debian les appelle SHA256SUMS et SHA256SUMS.sign. D’autres pourraient les appeler quelque chose de légèrement différent.

Si vous ne l’avez pas déjà fait, téléchargez ces fichiers.

Vérifiez la somme de contrôle

Une fois que vous avez les fichiers de somme de contrôle, vous pouvez les vérifier avec GPG. Il utilise une commande simple pour vérifier qu’elles correspondent aux signatures des clés que vous avez importées.

gpg --verify SHA256SUMS.sign SHA256SUMS

Une signature valide signalera une bonne signature, mais donnera également des avertissements que GPG peut vérifier le propriétaire. Ce n’est pas grave.

Vérifier le fichier

Vous êtes enfin prêt à vérifier le fichier lui-même. Utilisez l’outil sha256sum pour le comparer au fichier SHA256SUMS que vous avez téléchargé et vérifié.

sha256sum -c SHA256SUMS 2>&1 | grep OK

Vous pouvez tout laisser de côté après le fichier de somme de contrôle, mais vous obtiendrez un journal de fichiers inutiles supplémentaires dont vous n’avez pas besoin. Vous cherchez simplement à ce que votre fichier affiche « OK ». Si vous ne voyez rien, cela signifie que la signature sur le fichier ne correspond pas à la somme de contrôle, et c’est mauvais.

Réflexions finales

Vérifier les signatures de vos fichiers par rapport à une somme de contrôle peut être pénible, mais ce n’est pas aussi pénible que d’avoir un système compromis parce que vous avez téléchargé un ISO pré-piraté, ou un fichier fourni avec une porte dérobée gratuite.