ubuntuusers.de

Hallo ich habe mir gerade die Ubuntu Iso gezogen. Ich wollte mal fragen ob alles korrekt ist?

julianh@julian-MS-7816:~$ cd Downloads
julianh@julian-MS-7816:~/Downloads$ gpg --keyserver hkp://keyserver.ubuntu.com --recv-keys "8439 38DF 228D 22F7 B374 2BC0 D94A A3F0 EFE2 1092" "C598 6B4F 1257 FFA8 6632 CBA7 4618 1433 FBB7 5451" 
gpg: key 46181433FBB75451: 89 Beglaubigungen wegen fehlender Schlüssel nicht geprüft
gpg: Schlüssel 46181433FBB75451: "Ubuntu CD Image Automatic Signing Key <cdimage@ubuntu.com>" nicht geändert
gpg: key D94AA3F0EFE21092: 45 Beglaubigungen wegen fehlender Schlüssel nicht geprüft
gpg: Schlüssel D94AA3F0EFE21092: "Ubuntu CD Image Automatic Signing Key (2012) <cdimage@ubuntu.com>" nicht geändert
gpg: Anzahl insgesamt bearbeiteter Schlüssel: 2
gpg:              unverändert: 2
julianh@julian-MS-7816:~/Downloads$ gpg --list-keys --with-fingerprint 0xFBB75451 0xEFE21092 
pub   dsa1024 2004-12-30 [SC]
      C598 6B4F 1257 FFA8 6632  CBA7 4618 1433 FBB7 5451
uid        [ unbekannt ] Ubuntu CD Image Automatic Signing Key <cdimage@ubuntu.com>

pub   rsa4096 2012-05-11 [SC]
      8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092
uid        [ unbekannt ] Ubuntu CD Image Automatic Signing Key (2012) <cdimage@ubuntu.com>

julianh@julian-MS-7816:~/Downloads$ gpg --verify SHA256SUMS.gpg SHA256SUMS 
gpg: Signatur vom Mo 30 Apr 2018 20:10:17 CEST
gpg:                mittels DSA-Schlüssel 46181433FBB75451
gpg: Korrekte Signatur von "Ubuntu CD Image Automatic Signing Key <cdimage@ubuntu.com>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg:          Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck  = C598 6B4F 1257 FFA8 6632  CBA7 4618 1433 FBB7 5451
gpg: Signatur vom Mo 30 Apr 2018 20:10:17 CEST
gpg:                mittels RSA-Schlüssel D94AA3F0EFE21092
gpg: Korrekte Signatur von "Ubuntu CD Image Automatic Signing Key (2012) <cdimage@ubuntu.com>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg:          Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck  = 8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092
julianh@julian-MS-7816:~/Downloads$ sha256sum -c SHA256SUMS 2>&1 | grep OK 
ubuntu-18.04-desktop-amd64.iso: OK
julianh@julian-MS-7816:~/Downloads$ 

julian36 schrieb:

julianh@julian-MS-7816:~/Downloads$ gpg --verify SHA256SUMS.gpg SHA256SUMS 
gpg: Signatur vom Mo 30 Apr 2018 20:10:17 CEST
gpg:                mittels DSA-Schlüssel 46181433FBB75451
gpg: Korrekte Signatur von "Ubuntu CD Image Automatic Signing Key <cdimage@ubuntu.com>" [unbekannt]
gpg: WARNUNG: Dieser Schlüssel trägt keine vertrauenswürdige Signatur!
gpg:          Es gibt keinen Hinweis, daß die Signatur wirklich dem vorgeblichen Besitzer gehört.
Haupt-Fingerabdruck  = C598 6B4F 1257 FFA8 6632  CBA7 4618 1433 FBB7 5451
[...]
julianh@julian-MS-7816:~/Downloads$ sha256sum -c SHA256SUMS 2>&1 | grep OK 
ubuntu-18.04-desktop-amd64.iso: OK

Ja, die Signatur passt mit dem heruntergeladenen Schluessel ueberein, und die Pruefsumme passt auch.

ist es in der Regel ausreichend nur die SHA256sum zu prüfen? Habe mir zuvor Ubuntu auf dem Pc installiert und nur die SHA256sum geprüft. Sollte ich es nochmal neuinstallieren und die Signatur auch noch prüfen oder wäre das nur unnötig?

julian36 schrieb:

ist es in der Regel ausreichend nur die SHA256sum zu prüfen?

Wenn du diese per HTTPS abgerufen hast, ja. Und es kommt darauf an, ob du "nur" pruefen willst ob das Archiv korrekt heruntergeladen wurde oder auch ob jemand den Download manipuliert hat.

Ich durchsuche gerne das Internet nach den Prüfsummen, wenn ich Zweifel bekomme oder nicht mehr so genau weiß, welches iso ich da eigentlich vor mir habe. Durch die Prüfsummen findet man entweder eine Menge legaler Bezugsquellen oder eben auch mal garNICHTS (tatsächlich-> ein korruptes Iso-Image hatte ich da mal!).

Hallo ich denke mal es war nicht verschlüsselt also http. Ich habe das ISO mit Unetbootin auf den Stick gemacht. Kann ich von dem Stick nochmal das ISO runter kopieren und dann die Signatur prüfen? Wenn das möglich wäre und ich könnte es prüfen könnte ich mir ja sicher sein?

LG und danke für eure Hilfe julian

Nein, das geht nicht. Und unetbootin war noch nie eine wirklich gute Idee, wenn man die Persistenz nicht braucht.