Curso de Ubuntu 26.04 / Descargar la imagen ISO oficial y verificar su hash y firma digital

Después de descargar el ISO de Ubuntu 26.04 desde la ruta oficial, se verifica con SHA256SUMS y SHA256SUMS.gpg de la misma ubicación de distribución. La firma digital verifica al firmante de la lista de sumas de verificación, y la comparación SHA-256 comprueba si el ISO descargado coincide con los valores de esa lista, por lo que deben realizarse ambas comprobaciones por separado.

Preparar ISO, lista de sumas de verificación y archivo de firma

Un ISO es una imagen de disco que contiene el contenido de un medio de instalación. En máquinas virtuales comunes se puede usar conectándola a una unidad de disco óptico virtual, y para crear un medio de instalación USB para PC físico es necesario un proceso separado de grabación de la imagen. Solo descargar el archivo ISO no hace que la USB sea arrancable.

En Descarga de Ubuntu Server se selecciona LTS 26.04 y la arquitectura. El ejemplo de amd64 de este artículo es ubuntu-26.04.1-live-server-amd64.iso, y si descargó otra arquitectura o una versión puntual, use los materiales de verificación de la misma carpeta de distribución que coincidan con el nombre real del archivo.

1. Por ejemplo, dentro de la carpeta de descargas cree una carpeta de trabajo llamada ubuntu-26.04-verify y guarda en ella el ISO seleccionado.
2. Reciba SHA256SUMS y SHA256SUMS.gpg desde la lista de distribución oficial con ISO y colóquelos en la misma carpeta. Un ejemplo para amd64 se puede consultar en el directorio de distribución oficial 26.04.
3. Si la extensión del archivo está oculta, cámbiela para mostrarla. Verifique que el archivo que contiene la suma de verificación no se haya convertido en SHA256SUMS.txt o en una página HTML y que el ISO no esté todavía en un estado de archivo temporal de descarga.

.torrent o .zsync son materiales separados para la descarga y no el ISO en sí. Además, si aplica las sumas de verificación de otro lanzamiento o ubicación de la imagen al ISO 26.04.1, incluso los archivos correctos pueden no coincidir. Reunir los tres archivos en una carpeta es solo para simplificar el trabajo, y verificar que los archivos se correspondan entre sí debe hacerse por separado.

Use la lista de sumas de verificación y los archivos de firma tal como los recibió. Si cambia la codificación de caracteres o los saltos de línea al guardar el contenido con un editor de texto, la verificación de la firma puede fallar. Distinga entre simplemente leer el contenido y guardar nuevamente un archivo editado.

Diferencia entre la coincidencia de hash y la verificación de firma digital

SHA-256 es un método para calcular el contenido de los archivos en forma de un valor hash de longitud fija. Si el valor real del ISO coincide con el valor esperado confiable, se puede confirmar si se ha recibido el mismo contenido. Sin embargo, si un atacante ha modificado tanto el ISO como la lista de sumas de verificación, no es posible distinguirlo solo comparando los hashes.

SHA256SUMS.gpg es una firma separada para la lista de sumas de verificación. Se verifica la firma con GnuPG usando gpg, y después se compara la huella digital completa de la clave pública utilizada con la guía oficial de Ubuntu antes de comparar las sumas de verificación. No se concluye directamente que 'el archivo es oficial' solo porque el hash coincide; se combinan los pasos de verificar quién es el firmante y si el archivo coincide. Para el procedimiento básico de verificación, consulte la guía oficial de verificación de descargas de Ubuntu.

Preparar GnuPG y una carpeta de claves públicas separada

Se necesita GnuPG para la verificación de firmas. En un entorno confiable existente de Ubuntu, se puede comprobar la existencia de comandos con command -v gpg y, si no está presente, se puede instalar desde el repositorio oficial usando sudo apt install gnupg. En Windows, use una ruta de instalación confiable de GnuPG como en la distribución oficial de Gpg4win y verifique en un nuevo terminal que gpg --version funciona. No descargue ni busque archivos ejecutables de manera arbitraria.

Los siguientes comandos GPG se ejecutan en un terminal abierto en la carpeta de trabajo actual. Tanto Windows PowerShell como el terminal de Linux pueden usar el comando externo gpg, pero la ruta de instalación debe estar preparada. Primero, cree un directorio vacío llamado ubuntu-verify-keys dentro de la carpeta actual. En Linux se puede usar mkdir -m 700 ubuntu-verify-keys y en Windows se puede usar la función de nueva carpeta del explorador de archivos. Si ya existe un directorio con el mismo nombre, elija un nombre nuevo y ajuste también la ruta del comando.

Si se especifica una carpeta separada, se puede diferenciar el almacén de claves públicas habitual de las claves de verificación. No se deben incluir claves secretas ni contraseñas de inicio de sesión aquí. La huella completa utilizada a continuación corresponde a la 'Ubuntu CD Image Automatic Signing Key (2012)' de Ubuntu; no confíe en ella únicamente por el nombre de la clave o el ID corto, debe compararse con la huella completa proporcionada en las instrucciones oficiales.

gpg --homedir ./ubuntu-verify-keys --keyserver hkps://keyserver.ubuntu.com --recv-keys 843938DF228D22F7B3742BC0D94AA3F0EFE21092
gpg --homedir ./ubuntu-verify-keys --fingerprint 843938DF228D22F7B3742BC0D94AA3F0EFE21092

La huella para comparar con las instrucciones oficiales es la siguiente. Los espacios se han añadido para que sea más fácil de leer; al comparar, se debe verificar los 40 caracteres completos.

8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092

El servidor de claves es la ruta para obtener claves públicas, y el hecho de recibir una clave desde ese servidor no garantiza la confianza del propietario. Si la clave ha sido reemplazada o se ha usado otra clave para firmarla, no acepte ciegamente la ID que aparece en el mensaje de error; consulte nuevamente las instrucciones oficiales de verificación de Ubuntu.

Verificación de firmas de la lista de sumas de verificación

gpg --homedir ./ubuntu-verify-keys --keyid-format long --verify SHA256SUMS.gpg SHA256SUMS

El primer archivo es la firma separada y el segundo es la lista firmada. Compruebe Good signature, el firmante y su huella completa, previamente cotejada con la guía oficial. Lea también el estado de salida inmediatamente después de GPG: en Bash, printf 'exit=%s\n' "$?"; en PowerShell, $LASTEXITCODE. El valor debe ser 0. Si ejecuta otro programa antes, puede sobrescribir ese estado. Los mensajes y la fecha dependen del idioma y del momento de la firma.

En un almacén de claves separado, puede aparecer una advertencia de relación de confianza como This key is not certified with a trusted signature. Esto es diferente del mensaje BAD signature, que indica que el cálculo de la firma es incorrecto. Sin embargo, esto no significa que se deba ignorar la advertencia; también se debe evaluar si la huella completa verificada en el paso anterior coincide con la guía oficial de Ubuntu. La razón por la que se especifican los dos archivos en la verificación de firmas separadas se puede confirmar también en la explicación del comando verify de GnuPG.

Si es No public key, asegúrese de que haya obtenido la clave pública necesaria y de que la carpeta de claves designada sea la correcta. Si es BAD signature, verifique la combinación de la lista de sumas de verificación y el archivo de firma, y si el archivo se guardó incorrectamente como HTML, descárguelo nuevamente desde la ubicación oficial. Si este paso no se resuelve, no se considera que la verificación de esa lista haya sido completada correctamente.

Comparar el hash ISO en Windows PowerShell

Después de abrir en el explorador de archivos la carpeta que contiene los archivos ISO, checksum y firma, abra un terminal de PowerShell con esa carpeta como ubicación actual. Verifique la ruta y los archivos con Get-Location y Get-ChildItem. El siguiente código solo compara cuando hay exactamente un elemento en el archivo especificado en $isoName y coteja todo el valor de 64 caracteres sin distinguir entre mayúsculas o minúsculas. Ajuste el nombre del archivo .1·live-server·amd64/arm64 al descargado realmente.

$isoName = 'ubuntu-26.04.1-live-server-amd64.iso'
$pattern = '^([0-9A-Fa-f]{64}) [ *]' + [regex]::Escape($isoName) + '$'
$entries = @(Get-Content -LiteralPath '.\SHA256SUMS' | Where-Object { $_ -match $pattern })
if ($entries.Count -ne 1) {
    throw 'Expected exactly one matching checksum entry.'
}
$expected = ($entries[0] -split '\s+', 2)[0]
$actual = (Get-FileHash -LiteralPath $isoName -Algorithm SHA256).Hash
if ($actual -ieq $expected) {
    'SHA-256 MATCH'
} else {
    throw 'SHA-256 MISMATCH: do not use this image.'
}

Si los valores calculados son iguales, aparecerá SHA-256 MATCH. Un error de que no hay elementos puede ocurrir si el nombre del archivo o la lista de verificación es diferente, y un error de valores diferentes significa que el contenido es distinto. No trate ambos errores como iguales. La documentación oficial de Get-FileHash explica los hashes de archivos y la selección de algoritmos.

Comparar hash de ISO en Linux

En Linux, después de mover los tres archivos a la carpeta de trabajo, verifique la ubicación con pwd y ls. También compruebe si sha256sum --help admite las opciones --check y --ignore-missing. El siguiente comando aparece en la lista, pero se omiten los archivos que no están en la carpeta actual, por lo que es conveniente cuando se usa una lista que incluye varias arquitecturas o formas de instalación.

sha256sum --check --ignore-missing SHA256SUMS
printf 'exit=%s\n' "$?"

Compruebe que aparece exactamente ubuntu-26.04.1-live-server-amd64.iso: OK para la imagen que utilizará y que el estado es 0. Si hay varias imágenes, un OK de otra imagen no valida la seleccionada. Si ningún archivo de la lista está disponible o algún archivo comprobado difiere, el comando falla. Un archivo que no figura en la lista tampoco queda validado por este comando.

Los ejemplos de Windows PowerShell y Linux son dos formas de comparar el mismo ISO con una lista verificada de firmas. No es necesario preparar ambos sistemas operativos. Sin embargo, si en Windows solo se compararon los hashes y no se verificó la firma GPG, debe tener en cuenta que lo que se completó es solo la etapa de verificación de coincidencia de hashes.

Orden de verificación en caso de fallo

Una vez completada la verificación, registre en el historial de operaciones el nombre de archivo ISO original, la ruta de descarga, la huella digital de la firma verificada y el resultado. Al conectar a la máquina virtual, asegúrese de seleccionar exactamente ese archivo que ha verificado. Como grabar la imagen en el USB o seleccionar el disco de instalación puede modificar los datos, debe realizar por separado la verificación del archivo y la confirmación del destino de la instalación.