데비안 ISO 무결성을 확인하는 방법?

최근에 Debian 7.5.0 Wheezy를 다운로드하고 GPG4Win을 사용하여 Release checksum 파일의 무결성을 확인하기 위해 Release.sig 서명을 사용할 수있었습니다. 불행히도 릴리스 파일에서 md5 / SHA1 / SHA256 체크섬을 어디에서 찾을 수 있는지에 대한 조언을 찾지 못해 ISO가 정확 / 손상 / 조작되지 않았는지 확인했습니다. 지원 사이트에서도이 특정 문제에 대한 도움말을 찾을 수 없습니다. 관련이 있다면 Windows 7을 사용하고 있습니다.

편집 : 내 ISO 파일의 이름은 "debian-7.5.0-amd64-netinst"입니다. 다른 버전은 여기 ( ftp://cdimage.debian.org/cdimage/release/7.5.0-live/amd64/iso-hybrid/ ) 에서 찾을 수 있으며이 파일로 인해 무결성을 확인하는보다 쉬운 방법을 제공합니다. ftp : //cdimage.debian.org/cdimage/release/7.5.0-live/amd64/iso-hybrid/SHA256SUMS . 확인한 릴리스 파일에서 이와 같은 것을 찾아야합니다.

debian checksum integrity

— 사용자 295031
소스

이것으로 나를 도울 수있는 사람이 있습니까? 이것은 무결성을 확인하는 매우 복잡한 방법 인 것 같아서이 질문에 대답하는 것보다 더 많은 경험을 가진 사람을 원합니다.

— user295031 2016 년

파일을 다운로드 한 디렉토리는 무엇입니까? 개인적으로, 나는 그 파일의 무결성을 검사하는 것에 대해 걱정하지 않을 것입니다. 그것에 문제가 있다면, 명백한 pdq가 될 것입니다.

— Faheem Mitha 2016 년

공식 사이트에서 온 것입니다. 내 버전은 amd64입니다 : debian.org/distrib/netinst

— user295031

@FaheemMitha, 미션 크리티컬 시스템을 배포하는 경우 무결성 검사가 필수입니다. 나는 약간의 편집증이므로 중요하지 않은 시스템에서도 일상적입니다.

— psimon

그러나 설치 프로그램의 내장 무결성 검사기를 사용할 수도 있습니다. 그러나 굽기 전에 MD5로 확인한 후에 만 가능합니다.

— psimon

답변:

해시가 다운로드 한 이미지와 일치하는지 확인한 다음 이 블로그 게시물에 설명 된대로 공식 데비안 키로 해시에 서명했는지 확인해야합니다 .

CD 이미지, SHA 512 해시 및 해시 서명을 다운로드하십시오. 아래에서 확인할 서명으로 인해 어디에서 구하든 상관 없습니다. 그러나 debian.org 에서 얻을 수 있습니다 .
해시가 이미지와 일치하는지 확인하십시오 (이러한 명령으로 아무것도 인쇄하지 않아야 함).
```
$ sha512sum debian-8.3.0-amd64-i386-netinst.iso > my_hash.txt
$ diff -q my_hash.txt SHA512SUMS.txt
```

해시가 올바르게 서명되었는지 확인하십시오. 키 ID를 얻기 위해 한 번, 공개 키를 다운로드 한 후에 다시 두 번 수행해야 할 것입니다. 명령 출력은 다음과 같아야합니다.

$ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt
gpg: Signature made Mon 25 Jan 2016 05:08:46 AEDT using RSA key ID 6294BE9B
gpg: Can't check signature: public key not found
$ gpg --keyserver keyring.debian.org --recv 6294BE9B
gpg: requesting key 6294BE9B from hkp server keyring.debian.org
gpg: key 6294BE9B: public key "Debian CD signing key <debian-cd@lists.debian.org>" imported
gpg: no ultimately trusted keys found
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)
$ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt
gpg: Signature made Mon 25 Jan 2016 05:08:46 AEDT using RSA key ID 6294BE9B
gpg: Good signature from "Debian CD signing key <debian-cd@lists.debian.org>"
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B

키 지문 (마지막 인쇄 된 선)이 올바른지 확인하십시오. 이상적으로는 웹 신뢰 를 통해이 작업을 수행해야합니다 . 그러나 Debian의 보안 웹 사이트 (HTTPS) 에 나열된 키와 비교하여 키 지문을 확인할 수 있습니다 .

— z0r
소스

매우 도움이됩니다. 현재 단계 1과 2 사이에 단계를 추가하여 다음과 같은 내용을 읽으십시오. "SHA 512 해시 (해당 파일에 둘 이상의 행이있는 경우)에서 관련 행을 복사하고 새 텍스트 파일 인 SHA512SUMS에 붙여 넣기 .txt. " 그런 다음 $ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt단계 SHA512SUMS.txt에서 원래 다운로드 한 변경되지 않은 해시 파일 ( 모든 원본 데이터 가 포함 된 파일)을 참조하도록 파일에 대한 참조를 변경하도록 제안하십시오 . 이 제안 된 변경 사항으로 인해 깊고 어두운 토끼 구멍을 뚫을 수 없었을 것입니다 ...

— Digger

2 단계에서 작성했던 방식과 수행 방식의 목적은 무엇 sha512sum -c SHA512SUMS.txt입니까?

— cdhowie

@cdhowie 이유가 없습니다. 당신의 방법이 더 좋습니다; 자유롭게 편집하십시오

— z0r

http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/를 보십시오

netinst ISO는 http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-7.5.0-amd64-netinst.iso에 있습니다.

md5sum은 http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/MD5SUMS 에서 찾을 수 있습니다 .