Ezen a könyvlapon elmagyarázzuk, hogy a SHA-256 titkosítási algorítmust használó nyilvános GPG kulcsok segítségével hogyan ellenőrizheted egyszerűen a Linux Mint ISO képfájlok fájlrendszerének és fájljainak épségét valamint hitelességét. A képfájlok épsége és valódisága (hitelesítés) fontos a telepítés sikerességéhez.

Hitelesítési kulcs a Linux Mint 18-hoz

Kulcs azonosító                   4096R/A25BAE09 2016-06-07
Ujjlenyomat                       27DE B156 44C6 B3CF 3BD7 D291 300F 846B A25B AE09
Felhasználó/készítő azonosító     Linux Mint ISO Signing Key

Hitelesítés kulcs a Linux Mint korábbi kiadásaihoz
^{(például; Linux Mint 17)}

Kulcs azonosító                   1024D/0FF405B2 2009-04-29
Ujjlenyomat                       E1A3 8B8F 1446 75D0 60EA 666F 3EE6 7F3D 0FF4 05B2
Felhasználó/készítő azonosító     Clement Lefebvre (Linux Mint Package Repository v1)

A képfájl ellenőrzésének lépései

Az alábbi lépéseket követve egyszerűen ellenőrizheted képfájljaid épségét és a telepítendő rendszered biztonságát

-- először is -terminált nyitva- importálod a telepíteni kívánt kiadás hitelesítési kulcsát az 'ujjlenyomat' használatával, a következő paranccsal

gpg --keyserver keyserver.ubuntu.com --recv-key "27DE B156 44C6 B3CF 3BD7 D291 300F 846B A25B AE09"

azaz érvényesíted a kulcsot valamelyik nyilvános kulcs szerver által. A kulcsot ezután a rendszered hitelesnek fogadja el.
(a parancsot bemásolod a terminálba, majd Enter-t ütsz, ez a parancs indítása, azaz futtatása)

-- a képfájlokra rákereshetsz a fő tükrön
https://ftp.heanet.ie/mirrors/linuxmint.com/
vagy a tartózkodási helyedhez közeli tükrön
https://linuxmint.com/mirrors.php
lényeges, hogy az ISO képfájlt, a 'sha256sum.txt' valamint a 'sha256sum.txt.gpg' fájlokat ugyanabba a könyvtárba töltsd le.
A 'sha256sum.txt'és a 'sha256sum.txt.gpg' fájlokat az ellenőrzéshez fogod használni.

-- a letöltés könyvtárába lépve, az alábbi paranccsal ellenőrizd a 'sha256' aláírást

gpg --verify sha256sum.txt.gpg sha256sum.txt

Kétféle választ kaphatsz, a megfelelő válasz a 'Jó' vagy a 'Good', a nem megfelelő válasz a 'This key is not certified with a trusted signature! There is no indication that the signature belongs to the owner.' vagy a 'Nem tudom ellenőrizni az aláírást: nyilvános kulcs nem található.'.
Utóbbi esetben vélhetően kihagytad az első lépést, az importálást. Pótold.
! A Linux Mint 18 kiadás ellenőrzésénél előfordulhat, hogy a parancs futtatásakor nem megfelelő választ kapsz. Olvasd el a kiegészítést a lap alján.

-- ha az előző lépésen túl vagy, azaz a kulcs megfelelő (hitelesítve van), akkor az aláírásban meg lehet bízni

-- készíts sha256 ellenőrző összeget az ISO képfájlból (annak valódi neve szerint), majd ezt az összeget hasonlítsd össze a 'sha256sum.txt' szövegfájlban található ellenörző összeggel

sha256sum -b képfájlod.iso

-- ha a terminál válasza 'Jó' vagy 'Good' valamint a 'sha256' ellenörző összegek is egyeznek, akkor a képfájl fájlrendszerénének épségét és hitelességét sikeresen ellenőrizted.

Fogalmak

-- GPG - GNU Privacy Guard
    http://wiki.hup.hu/index.php/GnuPG

-- SHA - Secure Hash Algorithm
    https://hu.wikipedia.org/wiki/Kriptogr%C3%A1fiai_hash_f%C3%BCggv%C3%A9ny

A könylap az alábbi oldal fordítása
https://linuxmint.com/verify.php

Kiegészítés

A Linux Mint 18 kiadás ellenőrzése a második paranccsal is ellenőrizhető, ha az első parancs nem ad jó eredményt.

Példa

gpg --verify sha256sum.txt.gpg sha256sum.txt
gpg: Signature made 2016. júl. 30., szombat, 12.17.14 CEST using RSA key ID A25BAE09
gpg: Good signature from "Linux Mint ISO Signing Key <root@linuxmint.com>"
gpg: FIGYELEM: Ez a kulcs nincs hitelesítve megbízható aláírással!
gpg:           Semmi jele, hogy ez a kulcs a megadott tulajdonoshoz tartozik.
Elsődlegeskulcs-ujjlenyomat: 27DE B156 44C6 B3CF 3BD7  D291 300F 846B A25B AE09

gpgv --keyring ~/.gnupg/pubring.gpg  sha256sum.txt.gpg sha256sum.txt
gpgv: Signature made 2016. júl. 30., szombat, 12.17.14 CEST using RSA key ID A25BAE09
gpgv: Good signature from "Linux Mint ISO Signing Key <root@linuxmint.com>"

Forrás
https://forums.linuxmint.com/viewtopic.php?t=226092
Tudnivalók
http://serverfault.com/questions/569911/how-to-verify-an-imported-gpg-key
https://bbs.archlinux.org/viewtopic.php?id=177603
https://forums.linuxmint.com/viewtopic.php?t=223358#p1176211

A használt alkalmazás
GNU Privacy Guard: gpgv - GnuPG
gpgv is an OpenPGP signature verification tool. (man gpgv)
https://www.gnupg.org/documentation/manuals/gnupg/gpgv.html
Egy régebbi leírás
http://linuxvilag.pbk.hu/content/files/cikk/10/cikk_10_42_45.pdf