Вы скачали Fedora и загрузили файл CHECKSUM со страницы загрузки. Теперь вы хотите убедиться, что ISO-образ действительно был опубликован именно Fedora.
В этой задаче есть два этапа.
Сначала вы проверяете подпись файла CHECKSUM.
Затем с помощью этого подтверждённого файла вы сверяете SHA256-хеш вашего ISO-образа.
Проверка подписи и проверка контрольной суммы выполняют разные задачи.
Если вы просто сравните ваш ISO-образ с контрольной суммой из неподтверждённого файла, то не сможете быть уверены, что эта сумма не была изменена вместе с образом.
Это краткое руководство объясняет, как проверить контрольную сумму и подлинность ISO-образа Fedora из командной строки
Вам потребуются:
- скачанный ISO-образ Fedora;
- соответствующий ему файл CHECKSUM;
- сертификаты OpenPGP от Fedora;
- терминал с утилитами curl, gpgv и sha256sum.
Поместите ISO-файл и файл CHECKSUM в один каталог. Это не обязательно, но так команды будет проще выполнять.
Для демонстрации мы будем использовать последнюю бета-версию Fedora 45.
Для Fedora Workstation 45 Beta на системе Intel или AMD 64-бит текущие файлы следующие:
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso Fedora-Workstation-iso-45_Beta-1.3-x86_64-CHECKSUM
На странице загрузки Fedora Workstation 45 Beta в настоящее время перечислены эти файлы и соответствующие команды для их проверки.
Нажмите на кнопку с маленьким значком галочки.
Fedora Workstation | The Fedora Project
Почему файлу CHECKSUM нужна подпись
Хеш SHA256 сообщает вам, совпадают ли два набора данных. Он не говорит о том, кто создал этот хеш.
Представьте, что кто-то заменил ваш ISO-образ Fedora и при этом предоставил новый файл CHECKSUM, содержащий хеш подмененного образа. Простое сравнение хешей завершится успешно, потому что эти два файла будут согласованы друг с другом.
Fedora решает эту проблему, подписывая файл CHECKSUM ключом OpenPGP.
Таким образом, процесс выглядит следующим образом:
- Подтверждение источника (проверка подписи): сначала вы проверяете цифровую подпись файла
CHECKSUMс помощью публичного ключа Fedora. Этот шаг доказывает, что список контрольных сумм был создан именно проектом Fedora и не был изменен злоумышленником. Если подпись неверна, доверять самому списку хешей нельзя. - Проверка целостности (сверка хеша): только после того, как подлинность списка подтверждена, вы используете его для проверки вашего ISO-образа командой
sha256sum -c.
Цепочка доверия выстраивается так: Ключ Fedora → Подписанный файл CHECKSUM → Значение SHA256 → Ваш ISO.
Если бы вы пропустили первый этап и сравнили свой ISO с хешем из неподписанного файла, у вас не было бы никакого способа узнать, не был ли этот хеш изменен одновременно с самим образом.
Шаг 1. Загрузите сертификаты OpenPGP Fedora
Из каталога, содержащего ваш ISO-образ и файл CHECKSUM, загрузите сертификаты Fedora:
Fedora предоставляет оба файла на своей текущей странице загрузки Fedora 45 Beta.
Теперь у вас должно быть что-то вроде этого:
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso Fedora-Workstation-iso-45_Beta-1.3-x86_64-CHECKSUM fedora.pgp fedora.gpg
Проверка связки ключей
Открытый ключ, загруженный из интернета, не является автоматически доверенным.
Fedora публикует информацию о своих сертификатах OpenPGP, включая их отпечатки (fingerprints).
Перед тем как полагаться на ключ для проверки, проверьте детали сертификата и сравните соответствующий отпечаток с информацией, опубликованной Fedora.
Fedora ссылается на эту информацию о сертификате непосредственно из текущих инструкций по загрузке.
Вы можете проверить связку ключей с помощью команды:
Точный отображаемый ключ зависит от сертификатов, которые в данный момент включены Fedora.
На момент написания этого руководства при вводе указанной выше команды выводятся сведения о сертификатах для версий Fedora 43, 44, 45 и 46:
pub rsa4096 2024-08-10 [SCE]
C6E7 F081 CF80 E131 4667 6E88 829B 6066 3164 5531
uid Fedora (43) <fedora-43-primary@fedoraproject.org>
pub rsa4096 2025-01-14 [SCE]
36F6 12DC F27F 7D1A 48A8 35E4 DBFC F71C 6D9F 90A6
uid Fedora (44) <fedora-44-primary@fedoraproject.org>
pub rsa4096 2025-07-29 [SCE]
4F50 A611 4CD5 C697 6A7F 1179 655A 4B02 F577 861E
uid Fedora (45) <fedora-45-primary@fedoraproject.org>
pub rsa4096 2026-01-30 [SCE]
D924 B10D 3E81 0DAB DD8B 56B5 96E7 E914 9121 1FCE
uid Fedora (46) <fedora-46-primary@fedoraproject.org>
