Tutorial Ubuntu 26.04 / Mengunduh dan memverifikasi ISO dengan checksum dan GPG

Unduh ISO Ubuntu 26.04 melalui jalur distribusi resmi, lalu periksa menggunakan SHA256SUMS dan SHA256SUMS.gpg dari lokasi rilis yang sama. Tanda tangan digital memverifikasi penanda tangan daftar checksum, sedangkan perbandingan SHA-256 memeriksa kecocokan ISO dengan daftar tersebut; lakukan kedua pemeriksaan sebagai langkah terpisah.

Siapkan ISO, daftar checksum, dan berkas tanda tangan

ISO adalah image disk yang berisi media instalasi. Pada VM biasa, ISO dipasang ke drive optik virtual. Pembuatan USB instalasi untuk PC fisik memerlukan proses penulisan image tersendiri: mengunduh ISO saja tidak membuat USB dapat digunakan untuk boot.

Pilih 26.04 LTS dan arsitektur melalui halaman unduhan Ubuntu Server. Contoh amd64 dalam artikel ini adalah ubuntu-26.04.1-live-server-amd64.iso. Untuk arsitektur atau point release lain, gunakan nama berkas yang sebenarnya dan bahan verifikasi dari direktori distribusinya.

1. Buat folder kerja, misalnya ubuntu-26.04-verify di dalam Downloads, lalu simpan ISO pilihan Anda di sana.
2. Unduh SHA256SUMS dan SHA256SUMS.gpg dari direktori resmi yang memuat ISO tersebut, lalu letakkan dalam folder yang sama. Contoh amd64 tersedia pada direktori rilis resmi 26.04.
3. Tampilkan ekstensi berkas jika disembunyikan. Pastikan daftar checksum tidak tersimpan sebagai SHA256SUMS.txt atau halaman HTML, dan ISO bukan lagi berkas unduhan sementara yang belum selesai.

Berkas .torrent atau .zsync merupakan bahan pendukung unduhan, bukan ISO. Checksum dari rilis atau direktori image lain dapat menolak ISO 26.04.1 yang sebenarnya utuh karena berkasnya tidak bersesuaian. Menyatukan tiga berkas dalam satu folder menyederhanakan pekerjaan, tetapi Anda tetap harus memastikan ketiganya saling cocok.

Pertahankan byte daftar checksum dan tanda tangan persis seperti yang diunduh. Menyimpannya melalui editor teks dapat mengubah akhir baris atau encoding sehingga verifikasi tanda tangan gagal. Membaca berkas berbeda dari menyimpan ulang salinan yang sudah diedit.

Bedakan kecocokan hash dan verifikasi tanda tangan digital

SHA-256 menghitung nilai hash dengan panjang tetap dari isi byte suatu berkas. Membandingkan hash ISO dengan nilai acuan yang tepercaya memeriksa kesamaan isinya. Perbandingan hash saja tidak membuktikan keaslian jika penyerang mengganti ISO sekaligus daftar checksumnya.

SHA256SUMS.gpg adalah tanda tangan terpisah atau detached signature untuk daftar checksum. Gunakan perintah gpg dari GnuPG untuk memeriksanya, cocokkan seluruh fingerprint kunci publik dengan petunjuk resmi Ubuntu, lalu bandingkan checksum ISO. Mengidentifikasi penanda tangan dan memeriksa kecocokan isi memiliki fungsi berbeda. Jangan menyimpulkan berkas resmi hanya karena hash cocok dengan daftar yang belum diverifikasi. Lihat tutorial verifikasi unduhan Ubuntu untuk prosedur dasarnya.

Siapkan GnuPG dan direktori kunci publik terpisah

Verifikasi tanda tangan memerlukan GNU Privacy Guard (GnuPG). Pada lingkungan Ubuntu yang sudah tepercaya, periksa keberadaannya dengan command -v gpg. Jika belum tersedia, Anda dapat memasangnya dari repositori resmi menggunakan sudo apt install gnupg. Pada Windows, gunakan distribusi tepercaya seperti paket resmi Gpg4win, lalu pastikan gpg --version berfungsi pada terminal baru. Hindari mengunduh program dari hasil pencarian yang tidak berkaitan dengan distribusi resmi.

Jalankan perintah GPG berikut dengan folder kerja sebagai direktori terminal saat ini. PowerShell Windows maupun shell Linux dapat memanggil program eksternal gpg setelah program terpasang dan jalurnya tersedia. Buat dahulu direktori kosong bernama ubuntu-verify-keys di dalam folder kerja. Pada Linux, gunakan mkdir -m 700 ubuntu-verify-keys; pada Windows, gunakan New folder di File Explorer. Jika nama itu sudah dipakai, pilih nama baru dan sesuaikan semua jalur perintah.

Direktori terpisah membedakan kunci untuk verifikasi ini dari penyimpanan kunci yang biasa digunakan. Jangan menaruh kunci privat atau kata sandi login di dalamnya. Fingerprint berikut mengidentifikasi Ubuntu CD Image Automatic Signing Key (2012). Cocokkan seluruh fingerprint dengan petunjuk resmi Ubuntu, bukan hanya nama tampilan atau ID kunci pendek.

gpg --homedir ./ubuntu-verify-keys --keyserver hkps://keyserver.ubuntu.com --recv-keys 843938DF228D22F7B3742BC0D94AA3F0EFE21092
gpg --homedir ./ubuntu-verify-keys --fingerprint 843938DF228D22F7B3742BC0D94AA3F0EFE21092

Bandingkan seluruh 40 karakter heksadesimal dengan fingerprint resmi. Spasi di bawah hanya memudahkan pembacaan.

8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092

Server kunci menyediakan kunci publik; menerima kunci dari server tersebut tidak dengan sendirinya membuktikan identitas pemiliknya. Jika kunci berubah atau berkas ditandatangani kunci lain, periksa kembali petunjuk verifikasi Ubuntu saat ini. Jangan sekadar mengimpor ID yang muncul pada pesan kesalahan agar pemeriksaan dipaksa lolos.

Verifikasi tanda tangan daftar checksum

gpg --homedir ./ubuntu-verify-keys --keyid-format long --verify SHA256SUMS.gpg SHA256SUMS

Argumen pertama adalah berkas tanda tangan, sedangkan argumen kedua adalah daftar checksum yang ditandatangani. Cari Good signature, lalu periksa identitas penanda tangan dan fingerprint. Periksa pula status keluar segera setelah perintah: jalankan printf 'exit=%s\n' "$?" pada shell Linux atau $LASTEXITCODE pada PowerShell, dan pastikan nilainya 0. Bahasa keluaran serta tanggal tanda tangan dapat berbeda.

Penyimpanan kunci terpisah dapat menampilkan peringatan seperti This key is not certified with a trusted signature. Pesan ini berbeda dari BAD signature, yang menunjukkan kegagalan verifikasi kriptografis. Namun, jangan mengabaikan persoalan kepercayaan: pastikan seluruh fingerprint cocok dengan petunjuk resmi Ubuntu. Dokumentasi perintah verify GnuPG menjelaskan penulisan kedua nama berkas untuk tanda tangan terpisah.

Jika muncul No public key, pastikan kunci yang diperlukan sudah diimpor ke direktori yang sama dengan nilai --homedir. Untuk BAD signature, periksa pasangan daftar dan tanda tangan serta kemungkinan halaman HTML tersimpan sebagai berkas, lalu unduh kembali keduanya dari lokasi resmi. Jika tahap ini belum terselesaikan, verifikasi berdasarkan daftar tersebut belum boleh dianggap lengkap.

Bandingkan hash ISO melalui Windows PowerShell

Buka folder berisi ISO dan bahan verifikasi di File Explorer, lalu buka terminal PowerShell dengan folder tersebut sebagai lokasi saat ini. Periksa jalur dan berkas menggunakan Get-Location serta Get-ChildItem. Kode berikut mensyaratkan tepat satu entri checksum untuk $isoName dan membandingkan seluruh 64 karakter heksadesimal tanpa membedakan huruf besar dan kecil. Sesuaikan akhiran point release, live-server, serta amd64 atau arm64 dengan unduhan Anda.

$isoName = 'ubuntu-26.04.1-live-server-amd64.iso'
$pattern = '^([0-9A-Fa-f]{64}) [ *]' + [regex]::Escape($isoName) + '$'
$entries = @(Get-Content -LiteralPath '.\SHA256SUMS' | Where-Object { $_ -match $pattern })
if ($entries.Count -ne 1) {
    throw 'Expected exactly one matching checksum entry.'
}
$expected = ($entries[0] -split '\s+', 2)[0]
$actual = (Get-FileHash -LiteralPath $isoName -Algorithm SHA256).Hash
if ($actual -ieq $expected) {
    'SHA-256 MATCH'
} else {
    throw 'SHA-256 MISMATCH: do not use this image.'
}

Kecocokan menghasilkan SHA-256 MATCH. Kesalahan entri yang tidak ditemukan dapat menunjukkan nama berkas atau daftar checksum yang keliru, sedangkan hash berbeda berarti isi tidak sama. Periksa kedua masalah itu secara terpisah. Dokumentasi Get-FileHash menjelaskan penghitungan hash dan pemilihan algoritma.

Bandingkan hash ISO pada Linux

Pindah ke folder yang memuat ketiga berkas, lalu periksa lokasi menggunakan pwd dan ls. Periksa dukungan opsi --check dan --ignore-missing melalui sha256sum --help. Perintah berikut melewati berkas dalam daftar yang tidak ada di folder saat ini, sehingga berguna ketika daftar memuat beberapa jenis image atau arsitektur.

sha256sum --check --ignore-missing SHA256SUMS
printf 'exit=%s\n' "$?"

Pastikan muncul ubuntu-26.04.1-live-server-amd64.iso: OK untuk berkas pilihan Anda dan status keluar 0. Jika beberapa ISO tersedia, hasil OK milik berkas lain tidak membuktikan ISO yang akan dipakai juga lolos. Perintah gagal jika tidak ada berkas yang diperiksa atau isinya berbeda. Berkas sembarang yang tidak tercantum dalam daftar tidak otomatis diverifikasi oleh perintah ini.

Contoh Windows dan Linux merupakan dua jalur alternatif untuk membandingkan ISO dengan daftar yang tanda tangannya sudah diverifikasi. Anda tidak perlu menyiapkan kedua sistem operasi. Jika hanya membandingkan hash di Windows tanpa memeriksa tanda tangan GPG, yang selesai baru tahap kecocokan hash.

Urutan pemeriksaan saat verifikasi gagal

Catat nama asli ISO, lokasi unduhan, fingerprint penanda tangan yang sudah diperiksa, dan hasil verifikasi. Saat memasang media ke VM, pilih berkas yang sama persis dengan yang diverifikasi. Penulisan image ke USB dan pemilihan disk instalasi dapat mengubah data, sehingga verifikasi unduhan dan pemeriksaan disk tujuan harus dilakukan sebagai dua pekerjaan terpisah.