Como verificar a integridade ISO do Debian?

Recentemente, baixei o Debian 7.5.0 Wheezy e consegui usar a assinatura Release.sig para verificar a integridade do arquivo de soma de verificação de liberação usando o GPG4Win. Infelizmente, não encontrei nenhum conselho sobre onde encontrar a soma de verificação md5 / SHA1 / SHA256 no arquivo Release para verificar se o ISO está correto / não foi corrompido / manipulado. Também não foi possível encontrar ajuda sobre esse problema específico nos sites de suporte. Estou usando o Windows 7, se isso for relevante.

Edit: O nome do meu arquivo ISO é "debian-7.5.0-amd64-netinst". Outras versões podem ser encontradas aqui ( ftp://cdimage.debian.org/cdimage/release/7.5.0-live/amd64/iso-hybrid/ ) e oferecem uma maneira mais fácil de verificar a integridade devido a este arquivo: ftp: //cdimage.debian.org/cdimage/release/7.5.0-live/amd64/iso-hybrid/SHA256SUMS . Preciso encontrar algo parecido com isso no arquivo Release que verifiquei.

Você precisa verificar se o hash corresponde à imagem baixada e, em seguida, verificar se o hash foi assinado por uma chave oficial do Debian - como explicado nesta postagem do blog .

1. Faça o download da sua imagem de CD, um hash SHA 512 e a assinatura de hash. Não importa de onde você os obtenha, devido à assinatura que verificaremos abaixo. Mas você pode obtê-lo no debian.org .

2. Verifique se o hash corresponde à imagem (nenhum desses comandos deve imprimir nada):

   $ sha512sum debian-8.3.0-amd64-i386-netinst.iso > my_hash.txt
   $ diff -q my_hash.txt SHA512SUMS.txt
   

3. Verifique se o hash está assinado corretamente. Você provavelmente terá que fazer isso duas vezes: uma vez para obter o ID da chave e novamente depois de fazer o download da chave pública. A saída do comando deve se parecer muito com isso:

   $ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt
   gpg: Signature made Mon 25 Jan 2016 05:08:46 AEDT using RSA key ID 6294BE9B
   gpg: Can't check signature: public key not found
   $ gpg --keyserver keyring.debian.org --recv 6294BE9B
   gpg: requesting key 6294BE9B from hkp server keyring.debian.org
   gpg: key 6294BE9B: public key "Debian CD signing key <debian-cd@lists.debian.org>" imported
   gpg: no ultimately trusted keys found
   gpg: Total number processed: 1
   gpg:               imported: 1  (RSA: 1)
   $ gpg --verify SHA512SUMS.sign.txt SHA512SUMS.txt
   gpg: Signature made Mon 25 Jan 2016 05:08:46 AEDT using RSA key ID 6294BE9B
   gpg: Good signature from "Debian CD signing key <debian-cd@lists.debian.org>"
   gpg: WARNING: This key is not certified with a trusted signature!
   gpg:          There is no indication that the signature belongs to the owner.
   Primary key fingerprint: DF9B 9C49 EAA9 2984 3258  9D76 DA87 E80D 6294 BE9B
   

4. Verifique se a impressão digital principal (a última linha impressa) é legítima. Idealmente, você deve fazer isso através de uma rede de confiança . No entanto, você pode verificar a impressão digital das chaves em relação às chaves listadas no site seguro da Debian (HTTPS).

Veja http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/

O ISO do netinst está em http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-7.5.0-amd64-netinst.iso .

Você pode encontrar o md5sum em http://cdimage.debian.org/debian-cd/current/amd64/iso-cd/MD5SUMS .

A linha relevante é:

8fdb6715228ea90faba58cb84644d296  debian-7.5.0-amd64-netinst.iso