Tutorial de Ubuntu 26.04 / Verifique a ISO com checksum e assinatura digital

Baixe a ISO do Ubuntu 26.04 por uma fonte oficial e verifique-a com SHA256SUMS e SHA256SUMS.gpg do mesmo local de distribuição. A assinatura digital verifica quem assinou a lista de checksums; a comparação SHA-256 verifica se a ISO corresponde à lista. Faça as duas verificações separadamente.

Prepare a ISO, a lista de checksums e a assinatura

Uma ISO é uma imagem de disco com a mídia de instalação. Em uma VM convencional, conecte-a à unidade óptica virtual. Criar uma mídia USB inicializável para um PC físico exige uma gravação separada: baixar a ISO não torna o USB inicializável.

Escolha 26.04 LTS e a arquitetura na página de download do Ubuntu Server. O exemplo amd64 é ubuntu-26.04.1-live-server-amd64.iso. Para outra arquitetura ou versão pontual, use o nome real e os arquivos de verificação do diretório correspondente.

1. Crie uma pasta de trabalho, por exemplo ubuntu-26.04-verify em Downloads, e salve nela a ISO escolhida.
2. Baixe SHA256SUMS e SHA256SUMS.gpg do diretório oficial que contém essa ISO e coloque-os na mesma pasta. O exemplo amd64 está no diretório oficial do 26.04.
3. Mostre as extensões de arquivo se estiverem ocultas. Confira se a lista não foi salva como SHA256SUMS.txt ou página HTML e se a ISO não é um download parcial.

Arquivos .torrent e .zsync auxiliam o download; não são a ISO. Checksums de outra versão ou diretório podem rejeitar uma ISO íntegra por não corresponderem a ela. Manter os três arquivos juntos simplifica o trabalho, mas ainda é preciso confirmar a correspondência.

Preserve os bytes baixados da lista e da assinatura. Salvar a lista em um editor pode alterar quebras de linha ou codificação e invalidar a assinatura. Ler o arquivo é diferente de salvar uma cópia editada.

Entenda hashes e assinaturas digitais

SHA-256 calcula um hash de comprimento fixo a partir dos bytes de um arquivo. Comparar o hash real com um valor esperado confiável verifica a correspondência do conteúdo. O hash sozinho não comprova autenticidade se alguém substituir a ISO e a lista de checksums.

SHA256SUMS.gpg é uma assinatura separada da lista. Use gpg do GnuPG para verificá-la, compare a impressão digital completa da chave pública com a orientação oficial do Ubuntu e depois compare o checksum da ISO. Identificar o signatário e verificar o conteúdo são tarefas diferentes; um hash igual a uma lista não verificada não prova a origem do arquivo. Consulte o tutorial oficial de verificação do Ubuntu e a orientação de autenticidade da chave e integridade da imagem.

Prepare o GnuPG e uma pasta separada de chaves públicas

A assinatura exige GnuPG. Em um Ubuntu existente e confiável, procure-o com command -v gpg; se estiver ausente, instale-o pelos repositórios oficiais com sudo apt install gnupg. No Windows, use uma distribuição confiável, como o Gpg4win oficial, e confirme em um novo terminal que gpg --version funciona. Evite baixar executáveis desconhecidos encontrados em buscas.

Execute os comandos GPG abaixo com a pasta de trabalho como diretório atual. PowerShell e terminal Linux podem chamar o programa externo gpg se ele estiver instalado e acessível. Primeiro crie uma pasta vazia ubuntu-verify-keys dentro da pasta de trabalho: no Linux, use mkdir -m 700 ubuntu-verify-keys; no Windows, use Nova pasta no Explorador. Se ela já existir, escolha um nome novo e ajuste todos os comandos.

A pasta separada distingue as chaves desta tarefa do chaveiro habitual. Não coloque nela chaves privadas nem senhas de login. A impressão digital abaixo identifica a Ubuntu CD Image Automatic Signing Key (2012). Compare todos os caracteres com a orientação oficial por um caminho confiável, como um chaveiro de um Ubuntu já confiável; não confie apenas no nome ou em um ID curto.

gpg --homedir ./ubuntu-verify-keys --keyserver hkps://keyserver.ubuntu.com --recv-keys 843938DF228D22F7B3742BC0D94AA3F0EFE21092
gpg --homedir ./ubuntu-verify-keys --fingerprint 843938DF228D22F7B3742BC0D94AA3F0EFE21092

Compare os 40 caracteres hexadecimais com a impressão oficial. Os espaços abaixo apenas facilitam a leitura.

8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092

Um servidor de chaves fornece chaves públicas, mas recebê-las dele não prova a identidade do proprietário. Se a chave mudar ou outra chave assinar o arquivo, consulte novamente as instruções atuais do Ubuntu. Não importe automaticamente qualquer ID de erro apenas para forçar a verificação a passar.

Verifique a assinatura da lista de checksums

gpg --homedir ./ubuntu-verify-keys --keyid-format long --verify SHA256SUMS.gpg SHA256SUMS

O primeiro arquivo é a assinatura separada; o segundo é a lista assinada. Procure Good signature e confira os dados e a impressão digital do signatário. Verifique imediatamente o estado de saída: execute printf 'exit=%s\n' "$?" no shell Linux ou $LASTEXITCODE no PowerShell e confira se é 0. Idioma da saída e data da assinatura podem variar.

Um chaveiro separado pode mostrar This key is not certified with a trusted signature. Isso difere de BAD signature, que indica falha criptográfica. Não ignore a questão da confiança: confirme a impressão completa por uma fonte oficial confiável. A documentação do comando verify do GnuPG explica a indicação dos dois arquivos na verificação separada.

Se aparecer No public key, confira se a chave necessária foi importada para a mesma pasta indicada em --homedir. Em caso de BAD signature, confira o par lista/assinatura e se foi salva uma página HTML por engano; baixe os dois arquivos novamente da fonte oficial. Enquanto a assinatura não for resolvida, não considere concluída a verificação baseada nessa lista.

Compare o hash da ISO no Windows PowerShell

Abra no Explorador a pasta com a ISO e os arquivos de verificação e inicie um PowerShell com essa pasta como localização atual. Confirme caminho e arquivos com Get-Location e Get-ChildItem. O código exige exatamente uma entrada para $isoName e compara os 64 caracteres sem distinguir maiúsculas. Ajuste o sufixo da versão pontual, live-server e arquitetura ao arquivo baixado.

$isoName = 'ubuntu-26.04.1-live-server-amd64.iso'
$pattern = '^([0-9A-Fa-f]{64}) [ *]' + [regex]::Escape($isoName) + '$'
$entries = @(Get-Content -LiteralPath '.\SHA256SUMS' | Where-Object { $_ -match $pattern })
if ($entries.Count -ne 1) {
    throw 'Expected exactly one matching checksum entry.'
}
$expected = ($entries[0] -split '\s+', 2)[0]
$actual = (Get-FileHash -LiteralPath $isoName -Algorithm SHA256).Hash
if ($actual -ieq $expected) {
    'SHA-256 MATCH'
} else {
    throw 'SHA-256 MISMATCH: do not use this image.'
}

Uma comparação bem-sucedida mostra SHA-256 MATCH. Ausência de entrada sugere nome ou lista incorretos; um hash diferente indica conteúdo diferente. Investigue cada erro separadamente. A documentação de Get-FileHash explica o cálculo e a seleção do algoritmo.

Compare o hash da ISO no Linux

Entre na pasta dos três arquivos e confirme a localização com pwd e ls. Confira em sha256sum --help se há suporte a --check e --ignore-missing. O comando abaixo ignora arquivos listados que não estejam na pasta atual, útil quando há vários tipos de imagem ou arquiteturas na lista.

sha256sum --check --ignore-missing SHA256SUMS
printf 'exit=%s\n' "$?"

Procure ubuntu-26.04.1-live-server-amd64.iso: OK para seu arquivo e o estado de saída 0. Se houver várias ISOs, o OK de outra não comprova que a escolhida passou. O comando falha quando nenhum arquivo é verificado ou quando o conteúdo difere. Arquivos ausentes da lista não são verificados automaticamente.

Windows e Linux oferecem caminhos alternativos para comparar a ISO com a mesma lista cuja assinatura foi verificada; não são necessários ambos. Se você comparou apenas o hash no Windows sem verificar a assinatura GPG, concluiu apenas a comparação do hash.

Investigue falhas de verificação

Registre o nome original da ISO, local do download, impressão digital verificada e resultados. Ao conectar a mídia à VM, selecione o mesmo arquivo verificado. Gravar uma imagem em USB e escolher o disco de instalação podem alterar dados; verifique o arquivo baixado e identifique o destino de instalação como tarefas separadas.