Wie kann ich die Prüfsummen des Debian ISOs validieren

[nutzerJ]

Liebe Community,

ich möchte mich mal an Debian versuchen und gerne die Distribution installieren. Ich möchte aber die Integrität der heruntergeladenen ISO prüfen, konnte aber keine checksum für die gesamte ISO finden. Übersehe ich etwas?

Vielen Dank im Voraus!

[kreuzschnabel]

Wo hast du die *.iso denn runtergeladen?

Auf https://www.debian.org/download sehe ich direkt unter dem Download-Link einen Link zur Prüfsumme.

--ks

[nutzerJ]

Danke für die Antwort. Das hatte ich auch gesehen.

"Offizielle Veröffentlichungen von Debian-Installations- und Live-Images enthalten signierte Prüfsummen-Dateien; Sie finden diese in den Verzeichnissen iso-cd, jigdo-dvd, iso-hybrid usw. Die Prüfsummen ermöglichen Ihnen, zu überprüfen, ob die Images, die Sie heruntergeladen haben, korrekt sind."

Das deute ich aber so, dass darunter keine Prüfsumme für das gesamte ISO ist, oder täusche ich mich?

[schwedenmann]

Hallo

Das deute ich aber so, dass darunter keine Prüfsumme für das gesamte ISO ist, oder täusche ich mich?

Doch das sind Prüfsummen für die Iso-dateien


mfg
schwedenmann

[uname]

Danach geht es automatisch.

https://wiki.debian.org/SecureApt

Schau auch

https://www.heise.de/news/Schaedling-in ... 13114.html

Daher nie der Prüfsumme vom Download-Server trauen.

[nutzerJ]

Danach geht es automatisch.

https://wiki.debian.org/SecureApt

Schau auch

https://www.heise.de/news/Schaedling-in ... 13114.html

Daher nie der Prüfsumme vom Download-Server trauen.

Danke!

Danach geht es automatisch.

Bedeutet das, dass ich nach dem Download gar keine weitere Verifizierung von Hand durchführen muss?

[kreuzschnabel]

Danach geht es automatisch.

Bedeutet das, dass ich nach dem Download gar keine weitere Verifizierung von Hand durchführen muss?

Nein. „Danach“ bedeutet, dass du nach der Installation in Debian die dort heruntergeladenen Softwarepakete (also die Software, die du unter Debian installierst) nicht mehr einzeln prüfen musst. Nach der Installation. Insofern hat diese Antwort mit deiner Frage nicht allzu viel zu tun.

Wäre es dir im Laufe des Tages möglich, meine Frage (wo du das iso runtergeladen hast) zu beantworten? Dann kann ich dir auch genau sagen, wo du die dazugehörige Prüfsumme findest. Es gibt nicht „das“ iso, es gibt mehrere, vom 62 MB kleinen mini.iso bis zum lauffähigen Live-iso, und für jedes gibt es logischerweise eine separate Prüfsumme.

--ks

[nutzerJ]

Wo hast du die *.iso denn runtergeladen?

Ah, sorry! Ich hatte deine Frage übersehen. Das ist eine gute Frage, wo ich es heruntergeladen hatte. Ich habe eben mal versucht, das zu rekonstruieren und konnte es nicht mehr finden.

Ich fand jetzt aber diesen Link. Und da stehen die Checksums ja schon dabei (die oberste scheint mir auch für das gesamte ISO zu sein)! Muss ich irgendwie übersehen haben. Wolltest du mich auch darauf aufmerksam machen?

[kreuzschnabel]

Wolltest du mich auch darauf aufmerksam machen?

Entsprechend deiner Antwort halt

Ich würde die Prüfsummendatei gar nicht runterladen. Ich würde die Prüfsumme direkt auf dem Server aufrufen und sie mit der bei mir lokal aus dem Download ermittelten Prüfsumme vergleichen. Dabei musst du nicht den kompletten Rattenschwanz durchgehen; wenn zwei, drei Stichproben übereinstimmen, passt das schon mit einer Wahrscheinlichkeit von 1−10⁻¹⁰. Auch eine kleine Modifikation hat in der Regel eine komplett andere Prüfsumme zur Folge.

Das Risiko, dass ein Angreifer das iso und die Prüfsumme auf dem Server getauscht hat, geht gegen Null, und selbst dagegen könntest du dir die Prüfsumme (zur selben iso-Variante!) von einem anderen Server holen (hier die Liste aller Debian-Mirrors).

--ks

[nutzerJ]

Super, danke!

[tobo]

Das Risiko, dass ein Angreifer das iso und die Prüfsumme auf dem Server getauscht hat, geht gegen Null, und selbst dagegen könntest du dir die Prüfsumme (zur selben iso-Variante!) von einem anderen Server holen (hier die Liste aller Debian-Mirrors).

Viel einfacher - neben der Prüfsumme, welche die Unversehrtheit der ISO-Datei prüft, gibts da zusätzlich auch noch eine Signature-Datei, welche die Urheberschaft prüft.