Como verificar a integridade de uma imagem TurnKey Linux baixado

Por favor, note que esta página se aplica aos lançamentos v16.0 (Debian 10/Buster) e mais recentes TurnKey Linux. Se você precisa verificar a integridade de uma compilação legado antes de v16.0, por favor, consulte o página de verificação de versões legendária.

TurnKey gira nossas chaves de assinatura de imagem para cada grande lançamento, então é importante usar a chave relevante para a versão que você está usando. se você baixar o v18.2 WordPress ISO (turnkey-wordpress-18.2-bookworm-amd64.iso) então primeiro verifique se o arquivo hash é assinado pela chave de liberação "bookworm" e então verifique se ISO hash. e o significado da versão do arquivo hash de um appliance (baseado no Debian "Bookworm") você precisará verificar o ISO (ou outra compilação baixado) com a chave "bookworm". Por exemplo, as chaves podem ser encontradas

Todas as imagens TurnKey Linux do software appliance têm um arquivo '.hash' que acompanha. Este arquivo contém os valores de verificação SHA256 e SHA512 da imagem relevante. É igualmente assinado com a componente privada do Chave de lançamento GPG (no caso do v18.x; a chave "Livra-Imagens"). Contém também instruções sobre como verificar as somas SHA, bem como verificar a assinatura.

Obtendo o arquivo .hash

Usando 18.2 WordPres ISO como um exemplo, você pode encontrar o arquivo .hash relevante clicando no link "Manifest & Sigs" na página appliance. Ou seja, no nosso caso, nós procuraríamos the WordPress appliance page, clique no link "Manifest & Sigs" ao lado do link de download ISO. Em seguida, encontre o arquivo .hash que corresponde exatamente ao nome da imagem baixada (com um sufixo adicional '.hash') baixar o arquivo. Por exemplo. Para o núcleo v18.2 (Debian 12/Imagens baseadas em vermes):

https://releases.turnkeylinux.org/turnkey-wordpress/18.2-bookworm-amd64/turnkey-wordpress-18.2-bookworm-amd64.iso.hash

Os arquivos '.hash' também estão disponíveis diretamente de um de nossos espelhos, por exemplo, você encontrará tanto o ISO quanto o arquivo .hash juntos via http://mirror.turnkeylinux.org/turnkeylinux/images/iso/

Nota o arquivo ISO e o arquivo hash correspondente têm (quase) nomes idênticos - com exceção do sufixo .hash. Ou seja, WordPress v18.2 ISO e nomes de arquivos relevantes .hash:

turnkey-wordpress-18.2-bookworm-amd64.iso
turnkey-wordpress-18.2-bookworm-amd64.iso.hash

Como observado acima, o arquivo em si contém instruções, mas vamos cobrir todo o processo aqui. A verificação é essencialmente um processo de 2 etapas:

Verifique a assinatura do arquivo hash para verificar o arquivo hash foi fornecido por nós; então
Verifique o hash do arquivo ISO contra o hash relevante no arquivo .hash.

Verificar a assinatura do ficheiro de hash

Para verificar a integridade do arquivo hash baixado, você deve primeiro adicionar o componente público da chave de lançamento TurnKey Linux ao seu chaveiro. O primeiro passo é encontrar a chave apropriada. A chave a ser usada dependerá do codinome Debian da versão TurnKey que você deseja usar (hint: é em nome do arquivo - entre o número da versão TKL e a arquitetura). Além disso, aqui está uma tabela que mapeia versões TurnKey para nomes de código Debian:

Notas	Versão TurnKey	Nome de código Debian
Versão inválida	v15.x (por exemplo, 15.0, 15.1, etc.)	Stretch (também conhecido por Debian 9)
Versão inválida	v16.x (por exemplo, 16.0, 16.1, etc.)	Buster (também conhecido por Debian 10)
Versão legada (no momento da escrita)	v17.x (por exemplo, v17.1)	Bullseye (também conhecido por Debian 11)
Versão actual	v18.x	Verme de biblioteca (também conhecido por Debian 12)
Próximo/novo lançamento (em andamento no momento da escrita)	v19.x	Trixie (também conhecido por Debian 13)
Versão futura não lançada	v20.x	Forquilha (também conhecido por Debian 14)

Observe que giramos nossas chaves para cada versão principal, então não se esqueça de usar a chave para a versão específica relevante. O arquivo possui as instruções para baixar a chave de um servidor de chaves públicas, mas as chaves também são avaialble do GitHub. usando Linux, você pode usar GPG para baixar a chave diretamente do repositório GitHub "comum" do TurnKey e adicioná-la ao seu chaveiro GPG (este exemplo usa v16.x/'buster' - certifique-se de atualizar o valor CODENAME):

$ CODENAME=buster # NOTE update this to relevant release codename
$ curl  https://raw.githubusercontent.com/turnkeylinux/common/master/keys/tkl-$CODENAME-images.asc | gpg --import
$ gpg --list-keys --with-fingerprint release-$CODENAME-images@turnkeylinux.org
    pub   rsa4096 2020-02-05 [SC] [expires: 2040-01-31]
          A8B2 EF42 8781 9B03 D351  6CCA 7623 1C20 425E 9772
    uid           [ unknown] TurnKey GNU/Linux Buster Images (GPG signing key for TurnKey Linux Buster Images) <release-buster-images@turnkeylinux.com>
    sub   rsa4096 2020-02-05 [S] [expires: 2040-01-31]

(Como é esperado óbvio, o texto de retorno vai variar dependendo do nome de código que está sendo usado).

Em seguida, verifique se o arquivo .hash está assinado com nossa chave (ainda usando o exemplo baseado em v16.x/Buster).

$ gpg --verify turnkey-core-16.0-buster-amd64.iso.hash
  gpg: Signature made using RSA key ID 76231C20425E9772
  gpg: Good signature from " TurnKey GNU/Linux Buster Images (GPG signing key for TurnKey Linux Buster Images) <release-buster-images@turnkeylinux.com>"

Verificar a soma de verificação do ISO contra o ficheiro hash

Certifique-se de que o arquivo ISO e o arquivo .hash estão no mesmo diretório. A maneira mais rápida e fácil é usar o sabor relevante da ferramenta shasum para verificar automaticamente o ISO contra os valores de verificação no arquivo .hash; assim:

$ sha256sum -c turnkey-core-16.0-buster-amd64.iso.hash
  turnkey-core-16.0-buster-amd64.iso: OK
  sha256sum: WARNING: 32 lines are improperly formatted

$ sha512sum -c turnkey-core-16.0-buster-amd64.iso.hash
  turnkey-core-16.0-buster-amd64.iso: OK
  sha512sum: WARNING: 32 lines are improperly formatted

Por favor, note que você pode ignorar com segurança o aviso sobre "linhas formatadas incorretamente". Isso é só porque nós também incluímos instruções dentro do arquivo hash (e obviamente eles não são devidamente formatados checksums!). A parte importante é onde diz "turnkey-core-16.0-buster-amd64.iso: Está bem.".

Alternativamente, você pode gerar o checksum e comparar manualmente que contra o checksum relevante no arquivo .hash. Por exemplo:

$ sha256sum turnkey-core-16.0-buster-amd64.iso
  171bb1c9fdba78830e7c5c0d084cf4b448ae564b041fff592f46a9306d51dbf7  turnkey-core-16.0-buster-amd64.iso

$ sha512sum turnkey-core-16.0-buster-amd64.iso
  20470be463dcb7f3b3a8a6ba4d8b25643775c8495547c75ba7c3ed545b4b0535892d84c40c987d00acf5eddbc49c9195556e750935456e9e538e5cccca7b3093  turnkey-core-16.0-buster-amd64.iso

O que fazer se falhar?

Se o primeiro passo (validação da assinatura) falhar, então existe uma pequena possibilidade de o arquivo ter sido corrompido. Se você puder abri- lo em um editor de texto amigável Linux (i.e. NOT notepad ou qualquer software de processamento de texto) e lê-lo claramente, em seguida, corrupção é altamente improvável e algo malicioso é possível. Se isso ocorrer, por favor, nos avise ASAP, postando no fóruns idealmente, ou e- mail para suporte AT turnkeylinux.org.

Se o segundo passo (validando o ISO checksum) falhar, então a corrupção é a causa mais provável. Sugiro que você copie o checksum que você obteve do seu ISO original (para que possamos comparar mais tarde), e tente baixar a imagem novamente.

Repita o segundo passo novamente e espero que agora funcione. Se não, compare o primeiro checksum do ISO com o somatório gerado a partir do novo ISO. Se não corresponderem (i.e. você agora tem 2 ISOs e um arquivo .hash; nenhum dos checksums ISO coincidem entre si, ou o hash no arquivo .hash) então parece provável que haja algo bagunçando seu tráfego da internet e corrompendo a imagem. Você pode tentar novamente, ou talvez tentar de um diferente espelho?

Se os 2 ISO checksums que você gerou corresponder, mas não corresponde ao checksum do arquivo .hash, então algo suspeito pode estar acontecendo! Como acima, por favor, deixe-nos saber sobre que ASAP. Novamente, postando no fóruns, ou envio de e- mail para suporte AT turnkeylinux.org.