Wie man die Integrität und Authentizität eines Linux-ISO-Abbilds überprüft

Überprüfung von ISO-Images ist ein wichtiger Schritt, um die Integrität und Authentizität heruntergeladener Dateien zu gewährleisten, insbesondere bei Linux-Distributionen. Der Prozess beinhaltet das Überprüfen des Hashwerts oder der digitalen Signatur der heruntergeladenen ISO-Datei im Vergleich zum bekannten legitimen Wert, der von der offiziellen Website der Distribution bereitgestellt wird. In diesem Leitfaden erkläre ich, wie man ISO-Images unter Linux überprüft, anhand eines Beispiels.

Warum müssen wir die Integrität und Authentizität eines Linux-ISO-Abbilds überprüfen?

Es ist wichtig, die Integrität und Authentizität eines ISO-Abbilds zu überprüfen, um sicherzustellen, dass die heruntergeladene Datei eine echte Kopie des Originals ist und nicht manipuliert wurde.

Integritätsprüfung: Dies bestätigt, dass das ISO-Abbild ordnungsgemäß heruntergeladen wurde und eine exakte Kopie der Datei auf den Downloadservern ist. Ein Fehler beim Herunterladen könnte zu einer beschädigten Datei führen, was während der Installation zu Problemen führen kann.

Authentizitätsprüfung: Dies überprüft, dass das ISO-Abbild vom jeweiligen Distributionsanbieter (z. B. Linux Mint) signiert wurde und keine veränderte oder bösartige Kopie ist.

Die Überprüfung des ISO-Images schützt Ihr System vor potenziellen Problemen, die durch beschädigte oder bösartige Dateien verursacht werden könnten.

Integrität von Linux-ISO-Abbildern überprüfen

1. Laden Sie das ISO-Abbild herunter:

Laden Sie zunächst die ISO-Image-Datei Ihrer gewünschten Linux-Distribution von der offiziellen Website herunter. Für die Zwecke dieser Anleitung werde ich das neueste openSUSE Leap ISO verwenden, das von der offiziellen Website heruntergeladen wurde.

2. Laden Sie die Prüfsummen-Datei herunter:

Zusammen mit dem ISO-Image müssen Sie auch die entsprechende Prüfsummen-Datei herunterladen (normalerweise eine .sha256- oder .md5-Datei). Diese Datei enthält die kryptographischen Hash-Werte für das ISO-Image.

3. Berechne die Prüfsumme:

Sobald Sie sowohl das ISO-Abbild als auch die Prüfsummendatei haben, können Sie ein Dienstprogramm wie sha256sum oder md5sum verwenden, um den Hashwert des heruntergeladenen ISO-Abbilds zu berechnen.

Beispiel:

$ sha256sum openSUSE-Leap-15.6-DVD-x86_64-Media.iso
ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d  openSUSE-Leap-15.6-DVD-x86_64-Media.iso

4. Vergleichen Sie die Prüfsummen:

Vergleichen Sie den berechneten Hash-Wert mit dem in der heruntergeladenen Prüfsummendatei angegebenen Wert. Wenn die Werte übereinstimmen, bedeutet dies, dass das ISO-Abbild intakt ist und während des Downloadvorgangs nicht beschädigt oder verändert wurde.

Beispiel:

Öffnen Sie die Prüfsummen-Datei (z. B. openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256)

$ cat openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 
ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d openSUSE-Leap-15.6-DVD-x86_64-Media.iso

In diesem Beispiel stimmt der berechnete Hash-Wert (ac1fbaf0071bdb71b8222fa1f40d6dd013e5699bb55c5636dce85beb0818985d) mit dem in der .sha256-Datei aufgeführten Wert überein, was darauf hinweist, dass das heruntergeladene openSUSE Leap 15.6 ISO-Image authentisch ist und nicht manipuliert wurde.

Wenn die Hash-Werte nicht übereinstimmen, bedeutet dies, dass das ISO-Abbild beschädigt oder verändert wurde, und Sie sollten es erneut von der offiziellen Quelle herunterladen.

Einige Linux-Distributionen bieten auch GPG (GNU Privacy Guard)-Signaturen für ihre ISO-Abbilder an. In solchen Fällen können Sie den Befehl gpg verwenden, um die digitale Signatur zu überprüfen und sicherzustellen, dass das ISO-Abbild tatsächlich von den offiziellen Betreuern der Distribution veröffentlicht wurde.

Prüfsummen mit dem Befehl sha256sum vergleichen

Das manuelle Vergleichen von Prüfsummen kann mühsam und fehleranfällig sein, besonders beim Umgang mit langen Hash-Werten. Glücklicherweise gibt es eine bequemere Möglichkeit, den Verifizierungsprozess mit einem einzigen Befehl zu automatisieren.

Die meisten Linux-Distributionen bieten eine bequeme Option, um das ISO-Abbild automatisch mit der Prüfsummen-Datei zu überprüfen. So können Sie es tun:

1. Laden Sie das ISO-Abbild und die Prüfsummen-Datei herunter:

Laden Sie das ISO-Abbild und die entsprechende Prüfsummen-Datei (z. B. SHA256SUMS oder MD5SUMS) von der offiziellen Website herunter.

2. Verwenden Sie die Option -c mit dem Prüfsummenprogramm:

Die -c-Option weist das Prüfsummen-Programm (sha256sum, md5sum usw.) an, die Prüfsummen aus einer Datei zu lesen und die Integrität der entsprechenden Dateien zu überprüfen.

Beispiel:

$ sha256sum -c openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256
openSUSE-Leap-15.6-DVD-x86_64-Media.iso: OK

In diesem Beispiel liest der Befehl sha256sum die Prüfsummen aus der Datei openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256 und vergleicht sie mit der tatsächlichen ISO-Image-Datei (openSUSE-Leap-15.6-DVD-x86_64-Media.iso). Wenn die Prüfsummen übereinstimmen, gibt er OK aus, was darauf hinweist, dass das ISO-Image authentisch ist und nicht manipuliert wurde.

Wenn die Prüfsummen nicht übereinstimmen, sehen Sie eine Fehlermeldung wie diese:

$ sha256sum -c openSUSE-Leap-15.6-DVD-x86_64-Media.iso.sha256
openSUSE-Leap-15.6-DVD-x86_64-Media.iso: FAILED
sha256sum: WARNING: 1 computed checksum did NOT match

Hier ist ein weiteres Beispiel.

Das Linux-Mint-Team stellt zusammen mit der ISO-Datei eine sha256sum.txt-Datei bereit. Sie können die Authentizität der ISO-Datei mithilfe der sha256sum.txt-Datei wie folgt überprüfen:

$ sha256sum -c sha256sum.txt 
linuxmint-22-cinnamon-64bit-beta.iso: OK

Dieser Befehl überprüft die SHA-256-Prüfsumme der ISO-Datei mit dem im sha256sum.txt-Datei angegebenen Wert.

Wenn die Prüfsummen übereinstimmen, wird angezeigt „OK“. Das bedeutet, dass die ISO-Datei authentisch ist und nicht manipuliert wurde.

Dieser automatisierte Ansatz erspart Ihnen das manuelle Vergleichen der Prüfsummen und verringert die Wahrscheinlichkeit menschlicher Fehler.

Einige wichtige Punkte, die man sich merken sollte:

• Stellen Sie sicher, dass Sie sich im selben Verzeichnis wie das ISO-Abbild und die Prüfsummen-Datei befinden, wenn Sie den Befehl ausführen.
• Die Prüfsummen-Datei sollte die richtige Namenskonvention haben (z. B. SHA256SUMS für SHA-256-Prüfsummen, MD5SUMS für MD5-Prüfsummen).
• Wenn die Prüfsummen nicht übereinstimmen, sollten Sie das ISO-Abbild erneut von der offiziellen Quelle herunterladen.

Durch die Verwendung der -c-Option mit dem Prüfsummenprogramm können Sie die Integrität heruntergeladener ISO-Images einfach und zuverlässig überprüfen, um einen sicheren und vertrauenswürdigen Installationsprozess zu gewährleisten.

Überprüfen Sie die Authentizität der sha256sum.txt-Datei

Wie ich bereits erklärt habe, enthält eine sha256sum.txt-Datei die Prüfsummen, die zur Überprüfung der Integrität eines Linux-ISO-Abbilds verwendet werden. Wenn diese Datei manipuliert würde, könnte ein Angreifer ein modifiziertes ISO-Abbild verbreiten, das legitim erscheint, aber tatsächlich schädlichen Code enthält.

Durch die Überprüfung der Authentizität der sha256sum.txt-Datei können Sie sicher sein, dass die darin enthaltenen Prüfsummen echt sind und nicht verändert wurden. Dies gibt Ihnen die Gewissheit, dass das ISO-Abbild, das Sie herunterladen, tatsächlich das vom offiziellen Team veröffentlichte ist und nicht manipuliert wurde.

Um die Echtheit von sha256sum.txt zu überprüfen, müssen Sie die Signatur von sha256sum.txt.gpg prüfen. Dieser Prozess stellt sicher, dass die Datei sha256sum.txt, die die Prüfsummen zur Überprüfung der Integrität des ISO-Abbilds enthält, nicht manipuliert wurde.

Für den Zweck dieses Leitfadens werde ich das neueste Linux Mint 22 ISO verwenden.

1. Importiere den Linux Mint Signierschlüssel:

Sie müssen zunächst den Linux-Mint-Signaturschlüssel in Ihr System importieren. Dies kann mit dem folgenden Befehl durchgeführt werden:

gpg --keyserver hkp://keys.openpgp.org:80 --recv-key 27DEB15644C6B3CF3BD7D291300F846BA25BAE09

Sie können dann überprüfen, ob der Schlüssel korrekt importiert wurde, indem Sie den folgenden Befehl verwenden:

gpg --list-key --with-fingerprint A25BAE09

Die Ausgabe sollte 27DE B156 44C6 B3CF 3BD7 D291 300F 846B A25B AE09 enthalten.

2. Überprüfen Sie die Echtheit von sha256sum.txt:

Sobald der Schlüssel importiert ist, können Sie die Authentizität der Datei sha256sum.txt mit folgendem Befehl überprüfen:

gpg --verify sha256sum.txt.gpg sha256sum.txt

Die Ausgabe sollte bestätigen, dass die Dateisignatur „gut“ ist und dass sie mit dem richtigen Schlüssel (27DEB15644C6B3CF3BD7D291300F846BA25BAE09) signiert wurde.

Sie können eine Warnung erhalten, dass die Linux-Mint-Signatur von Ihrem Computer nicht als vertrauenswürdig eingestuft wird. Dies ist normal und erwartet.

ISO-Images mit Linux Mint überprüfen

Wenn Sie Linux Mint verwenden, verfügt es über ein integriertes Werkzeug zum Überprüfen von ISO-Abbildern. Das Werkzeug kann aufgerufen werden, indem Sie mit der rechten Maustaste auf das ISO-Abbild klicken und "Überprüfen" auswählen.

Alternativ kann das Befehlszeilenwerkzeug mint-iso-verify mit der ISO-Datei verwendet werden. Zum Beispiel würde man, um eine ISO-Datei namens "linux-mint.iso" zu überprüfen, den Befehl verwenden:

mint-iso-verify linux-mint.iso

Fazit

Die Überprüfung von ISO-Abbildern ist SEHR WICHTIG, um die Integrität und Sicherheit der Linux-Distribution zu gewährleisten, die Sie installieren möchten. Es wird empfohlen, immer die Prüfsummen oder digitale Signaturen zu überprüfen, bevor Sie mit der Installation fortfahren.