Linux OS - ISOイメージファイルのチェックサム照合
2016年2月20日 Linux Mintのウェブサイトがクラックされ、ダウンロードリンクを改竄してバックドアを組込んだ ISOイメージファイルをダウンロードさせると言う事件が起きました。
「Linux Mint」のウェブサイトが改ざん被害に--ISOファイルにバックドア
この事件の 3日後クラッカー本人のインタビュー記事が出ていました。彼はチェックサムのハッシュ値を改竄しなかった理由について「どのみち、チェックサムを調べるユーザーなんかいない」と述べています。
「Linux Mint」にバックドアを仕込んだハッカー、手口と目的を語る
彼は人の心理の脆弱性も心得ていたようですね。
そこで Linux OS（ディストリビュージョン）配布サイトからダウンロードした ISOイメージファイルのチェックサムを照合する方法を記しておきます。これは管理人が日常的に行っているものです。
ここでは Lubuntu 14.04LTS を例に挙げて説明しています（2016年6月）
照合の準備
それではまず Lubuntu の配布サイトから以下の4つのファイルをダウンロードしておきます。
- lubuntu-14.01.3-desktop-amd64.iso
- MD5SUMS
- SHA256SUMS
- SHA256SUMS.gpg
下の画像は配布サイトのスクリーンショットです。
ダウンロードしたファイルは全て同じディレクトリ内に置いておきます。今回は /home/ユーザー名/ダウンロード です。
MD5SUM の照合
ダウンロードした ISOイメージファイルが破損や改竄されていない事を確認するため、一緒にダウンロードした MD5SUMSと ISOイメージファイルから生成した MD5SUMSの値を比較します。
ISOイメージファイルの MD5SUMSは ISOイメージマウントアプリ Furius ISO Mount Tool を使って生成し、ダウンロードした MD5SUMの値と照合してその値が一致していればOKです。
fig1.Furius ISO Mount T.
fig2. ISO image Mount
fig3. CheckSum
ここで MD5SUMS の照合をコマンドラインではなく GUIアプリを使ったのはこのまま続けてライブCDが作成出来るためです。なお SHA1SUMS も同様です。
補足｜2022年2月追記
Ubuntu 20.04 LTS (Focal Fossa) 向けの Furius ISO Mount Toolパッケージはリリースされていません。代替えとして AcetoneISO があります。
AcetoneISO
MD5のチェック
下の画像は MD5チェック以外の機能のスクリーンショットです。
イメージ変換やビデオコーデックのコンバーターなどの機能が備わっています。
SHA256SUM の照合
ダウンロードした ISOイメージファイルが破損や改竄されていない事を確認するため、一緒にダウンロードした SHA256SUMSと ISOイメージファイルから生成した SHA256SUMSの値を比較します。
ISOイメージファイルの SHA256SUMS ハッシュ値は MD5SUMS のような GUIアプリがないのでコマンドラインで生成します。
端末エミュレータ（以降端末）からコマンドを実行すると
$ cd /home/ユーザー名 /ダウンロード $ sha256sum lubuntu-14.01.3-desktop-amd64.iso ed4ce98fd92ea795142e78a62886d2b3529802271669798ee6b1e916c5f4d0e6 lubuntu-14.04.3-desktop-amd64.iso $ _
のようなハッシュ値が生成されますがとても長く、これを照合するのは大変なので次のコマンドを実行すれば照合の結果が表示されます。
端末から
$ cd /home/ユーザー名/ダウンロード $ sha256sum -c SHA256SUMS 2>&1 | grep OK lubuntu-14.04.3-desktop-amd64.iso:OK $ _
のように OK が表示されれは文字通りOKです。下の画像はコマンド実行後のスクリーンショットです。
GPartedで使用例をもう1つ
- ISOイメージ：gparted-live-0.33.0-2-i686.iso
- チェックサムファイル：CHECKSUMS.TXT.gpg
$ cd /home/ユーザー名/ダウンロード $ sha256sum -c CHECKSUMS.TXT 2>&1 | grep OK gparted-live-0.33.0-2-i686.iso:OK $ _
この方法は ubuntu documentation の How To SHA256SUM を参考にしました。このページでは Check the CD・SHA256SUM of burnt media 等も紹介されています。
