Website-Suche

So überprüfen Sie die Prüfsumme einer Linux-ISO und stellen sicher, dass sie nicht manipuliert wurde

Letzten Monat wurde die Website von Linux Mint gehackt und eine modifizierte ISO-Datei mit einer Hintertür zum Download bereitgestellt. Obwohl das Problem schnell behoben wurde, zeigt es, wie wichtig es ist, die heruntergeladenen Linux-ISO-Dateien zu überprüfen, bevor man sie ausführt und installiert. Hier ist wie.

Linux-Distributionen veröffentlichen Prüfsummen, damit Sie bestätigen können, dass die von Ihnen heruntergeladenen Dateien das sind, was sie vorgeben, und diese sind häufig signiert, damit Sie überprüfen können, ob die Prüfsummen selbst nicht manipuliert wurden. Dies ist besonders nützlich, wenn Sie eine ISO-Datei von einem anderen Ort als der Hauptseite herunterladen – beispielsweise von einem Spiegel eines Drittanbieters oder über BItTorrent, wo es für Benutzer viel einfacher ist, Dateien zu manipulieren.

Wie dieser Prozess funktioniert

Der Prozess der ISO-Prüfung ist etwas komplex. Bevor wir uns also mit den genauen Schritten befassen, erklären wir zunächst genau, was der Prozess beinhaltet:

  1. Sie laden die Linux-ISO-Datei wie gewohnt von der Website der Linux-Distribution oder anderswo herunter.
  2. Sie laden eine Prüfsumme und ihre digitale Signatur von der Website der Linux-Distribution herunter. Dies können zwei separate TXT-Dateien sein, oder Sie erhalten eine einzelne TXT-Datei, die beide Datenteile enthält.
  3. Sie erhalten einen öffentlichen PGP-Schlüssel, der zur Linux-Distribution gehört. Abhängig von Ihrer Linux-Distribution erhalten Sie dies möglicherweise von der Website der Linux-Distribution oder von einem separaten Schlüsselserver, der von denselben Personen verwaltet wird.
  4. Mit dem PGP-Schlüssel überprüfen Sie, ob die digitale Signatur der Prüfsumme von derselben Person erstellt wurde, die den Schlüssel erstellt hat – in diesem Fall von den Betreuern dieser Linux-Distribution. Dies bestätigt, dass die Prüfsumme selbst nicht manipuliert wurde.
  5. Sie generieren die Prüfsumme Ihrer heruntergeladenen ISO-Datei und überprüfen, ob sie mit der Prüfsumme der TXT-Datei übereinstimmt, die Sie heruntergeladen haben. Dies bestätigt, dass die ISO-Datei nicht manipuliert oder beschädigt wurde.

Der Prozess kann bei verschiedenen ISOs etwas unterschiedlich sein, folgt jedoch normalerweise diesem allgemeinen Muster. Beispielsweise gibt es verschiedene Arten von Prüfsummen. Traditionell sind MD5-Summen am beliebtesten. Allerdings werden SHA-256-Summen mittlerweile häufiger von modernen Linux-Distributionen verwendet, da SHA-256 resistenter gegen theoretische Angriffe ist. Wir werden hier hauptsächlich SHA-256-Summen diskutieren, obwohl ein ähnlicher Prozess für MD5-Summen funktioniert. Einige Linux-Distributionen bieten möglicherweise auch SHA-1-Summen an, obwohl diese noch seltener sind.

Ebenso signieren einige Distributionen ihre Prüfsummen nicht mit PGP. Sie müssen nur die Schritte 1, 2 und 5 ausführen, aber der Prozess ist viel anfälliger. Denn wenn der Angreifer die ISO-Datei zum Download ersetzen kann, kann er auch die Prüfsumme ersetzen.

Die Verwendung von PGP ist viel sicherer, aber nicht narrensicher. Der Angreifer könnte diesen öffentlichen Schlüssel immer noch durch seinen eigenen ersetzen und Sie könnten immer noch glauben machen, dass die ISO echt ist. Wenn der öffentliche Schlüssel jedoch auf einem anderen Server gehostet wird – wie es bei Linux Mint der Fall ist – ist dies weitaus unwahrscheinlicher (da zwei Server statt nur einem gehackt werden müssten). Wenn der öffentliche Schlüssel jedoch auf demselben Server wie ISO und Prüfsumme gespeichert ist, wie es bei einigen Distributionen der Fall ist, bietet er nicht so viel Sicherheit.

Wenn Sie jedoch versuchen, die PGP-Signatur in einer Prüfsummendatei zu überprüfen und dann Ihren Download mit dieser Prüfsumme zu validieren, ist das alles, was Sie als Endbenutzer, der eine Linux-ISO herunterlädt, vernünftigerweise tun können. Sie sind immer noch viel sicherer als die Menschen, die sich nicht darum kümmern.

So überprüfen Sie eine Prüfsumme unter Linux

Wir verwenden hier Linux Mint als Beispiel. Möglicherweise müssen Sie jedoch die Website Ihrer Linux-Distribution durchsuchen, um die dort angebotenen Verifizierungsoptionen zu finden. Für Linux Mint werden zwei Dateien zusammen mit dem ISO-Download auf den Download-Spiegeln bereitgestellt. Laden Sie die ISO herunter und laden Sie dann die Dateien „sha256sum.txt“ und „sha256sum.txt.gpg“ auf Ihren Computer herunter. Klicken Sie mit der rechten Maustaste auf die Dateien und wählen Sie „Link speichern unter“, um sie herunterzuladen.

Öffnen Sie auf Ihrem Linux-Desktop ein Terminalfenster und laden Sie den PGP-Schlüssel herunter. In diesem Fall wird der PGP-Schlüssel von Linux Mint auf dem Schlüsselserver von Ubuntu gehostet und wir müssen den folgenden Befehl ausführen, um ihn abzurufen.

gpg --keyserver hkp://keyserver.ubuntu.com --recv-keys 0FF405B2

Auf der Website Ihrer Linux-Distribution finden Sie den Schlüssel, den Sie benötigen.

Wir haben jetzt alles, was wir brauchen: Die ISO, die Prüfsummendatei, die digitale Signaturdatei der Prüfsumme und den PGP-Schlüssel. Wechseln Sie also als Nächstes in den Ordner, in den sie heruntergeladen wurden …

cd ~/Downloads

…und führen Sie den folgenden Befehl aus, um die Signatur der Prüfsummendatei zu überprüfen:

gpg --verify sha256sum.txt.gpg sha256sum.txt

Wenn der GPG-Befehl Sie darüber informiert, dass die heruntergeladene Datei sha256sum.txt eine „gute Signatur“ aufweist, können Sie fortfahren. In der vierten Zeile des Screenshots unten informiert uns GPG darüber, dass es sich um eine „gute Signatur“ handelt, die angeblich mit Clement Lefebvre, dem Erfinder von Linux Mint, in Verbindung steht.

Machen Sie sich keine Sorgen, dass der Schlüssel nicht mit einer „vertrauenswürdigen Signatur“ zertifiziert ist. Das liegt an der Art und Weise, wie die PGP-Verschlüsselung funktioniert – Sie haben kein Netz des Vertrauens aufgebaut, indem Sie Schlüssel von vertrauenswürdigen Personen importieren. Dieser Fehler wird sehr häufig auftreten.

Da wir nun wissen, dass die Prüfsumme von den Linux Mint-Betreuern erstellt wurde, führen Sie schließlich den folgenden Befehl aus, um eine Prüfsumme aus der heruntergeladenen .iso-Datei zu generieren und sie mit der von Ihnen heruntergeladenen Prüfsummen-TXT-Datei zu vergleichen:

sha256sum --check sha256sum.txt

Wenn Sie nur eine einzige ISO-Datei heruntergeladen haben, werden viele Meldungen angezeigt, dass es keine solche Datei oder kein solches Verzeichnis gibt. Wenn die heruntergeladene Datei jedoch mit der Prüfsumme übereinstimmt, sollte die Meldung „OK“ angezeigt werden.

Sie können die Prüfsummenbefehle auch direkt in einer ISO-Datei ausführen. Es untersucht die ISO-Datei und gibt deren Prüfsumme aus. Sie können dann einfach überprüfen, ob die Prüfsumme mit der gültigen Prüfsumme übereinstimmt, indem Sie beide mit Ihren Augen betrachten.

So erhalten Sie beispielsweise die SHA-256-Summe einer ISO-Datei:

sha256sum /path/to/file.iso

Oder wenn Sie einen MD5-Summenwert haben und die MD5-Summe einer Datei abrufen müssen:

md5sum /path/to/file.iso

Vergleichen Sie das Ergebnis mit der Prüfsummen-TXT-Datei, um festzustellen, ob sie übereinstimmen.

So überprüfen Sie eine Prüfsumme unter Windows

Wenn Sie eine Linux-ISO von einem Windows-Computer herunterladen, können Sie die Prüfsumme auch dort überprüfen – obwohl Windows nicht über die erforderliche integrierte Software verfügt. Sie müssen also das Open-Source-Tool Gpg4win herunterladen und installieren.

Suchen Sie die Signaturschlüsseldatei und die Prüfsummendateien Ihrer Linux-Distribution. Wir verwenden hier Fedora als Beispiel. Die Website von Fedora bietet Prüfsummen-Downloads und teilt uns mit, dass wir den Fedora-Signaturschlüssel von https://getfedora.org/static/fedora.gpg herunterladen können.

Nachdem Sie diese Dateien heruntergeladen haben, müssen Sie den Signaturschlüssel mit dem in Gpg4win enthaltenen Kleopatra-Programm installieren. Starten Sie Kleopatra und klicken Sie auf Datei > Zertifikate importieren. Wählen Sie die heruntergeladene .gpg-Datei aus.

Sie können jetzt prüfen, ob die heruntergeladene Prüfsummendatei mit einer der von Ihnen importierten Schlüsseldateien signiert wurde. Klicken Sie dazu auf Datei > Dateien entschlüsseln/überprüfen. Wählen Sie die heruntergeladene Prüfsummendatei aus. Deaktivieren Sie die Option „Eingabedatei ist eine getrennte Signatur“ und klicken Sie auf „Entschlüsseln/Überprüfen“.

Wenn Sie dies auf diese Weise tun, wird Ihnen mit Sicherheit eine Fehlermeldung angezeigt, da Sie sich nicht die Mühe gemacht haben, zu bestätigen, dass diese Fedora-Zertifikate tatsächlich legitim sind. Das ist eine schwierigere Aufgabe. Auf diese Weise ist PGP konzipiert: Sie treffen sich zum Beispiel persönlich, tauschen Schlüssel aus und bauen ein Netz des Vertrauens auf. Die meisten Leute verwenden es nicht auf diese Weise.

Sie können jedoch weitere Details anzeigen und bestätigen, dass die Prüfsummendatei mit einem der von Ihnen importierten Schlüssel signiert wurde. Das ist sowieso viel besser, als einfach einer heruntergeladenen ISO-Datei zu vertrauen, ohne sie zu überprüfen.

Sie sollten nun in der Lage sein, Datei > Prüfsummendateien überprüfen auszuwählen und zu bestätigen, dass die Informationen in der Prüfsummendatei mit der heruntergeladenen ISO-Datei übereinstimmen. Bei uns hat das jedoch nicht funktioniert – vielleicht liegt es einfach an der Art und Weise, wie die Prüfsummendatei von Fedora aufgebaut ist. Als wir dies mit der Datei sha256sum.txt von Linux Mint versuchten, funktionierte es.

Wenn dies für die Linux-Distribution Ihrer Wahl nicht funktioniert, finden Sie hier eine Problemumgehung. Klicken Sie zunächst auf Einstellungen > Kleopatra konfigurieren. Wählen Sie „Kryptooperationen“, wählen Sie „Dateioperationen“ und stellen Sie Kleopatra so ein, dass es das Prüfsummenprogramm „sha256sum“ verwendet, da diese bestimmte Prüfsumme mit diesem generiert wurde. Wenn Sie über eine MD5-Prüfsumme verfügen, wählen Sie hier in der Liste „md5sum“ aus.

Klicken Sie nun auf Datei > Prüfsummendateien erstellen und wählen Sie Ihre heruntergeladene ISO-Datei aus. Kleopatra generiert aus der heruntergeladenen ISO-Datei eine Prüfsumme und speichert sie in einer neuen Datei.

Sie können beide Dateien – die heruntergeladene Prüfsummendatei und die gerade generierte – in einem Texteditor wie Notepad öffnen. Vergewissern Sie sich mit eigenen Augen, dass die Prüfsumme in beiden Fällen identisch ist. Wenn es identisch ist, haben Sie bestätigt, dass Ihre heruntergeladene ISO-Datei nicht manipuliert wurde.

Diese Überprüfungsmethoden waren ursprünglich nicht zum Schutz vor Malware gedacht. Sie sollen bestätigen, dass Ihre ISO-Datei korrekt heruntergeladen wurde und während des Downloads nicht beschädigt wurde, sodass Sie sie ohne Bedenken brennen und verwenden können. Sie sind keine völlig sichere Lösung, da Sie dem heruntergeladenen PGP-Schlüssel vertrauen müssen. Dies bietet jedoch immer noch viel mehr Sicherheit, als nur eine ISO-Datei zu verwenden, ohne sie überhaupt zu überprüfen.

Bildnachweis: Eduardo Quagliato auf Flickr

Verwandte Artikel: