يفصل دليل Canonical بين خطوتين: توثيق قائمة البصمات باستخدام GnuPG، ثم مقارنة ملف ISO المنزل بها. لا تكفي بصمة مأخوذة من صفحة غير موثوقة؛ قد يبدل مهاجم صورة النظام والبصمة المعروضة معاً.

نزل SHA256SUMS وSHA256SUMS.gpg للإصدار المحدد الذي يضم ملفك. اتبع تعليمات Canonical الحالية لمفتاح التوقيع، وطابق بصمته الكاملة مع مصدر Ubuntu موثوق. لا تثق بالمفتاح لمجرد ظهور اسم رسمي عليه، ولا تجعل معرفاً قديماً في مثال بديلاً عن التحقق.

عند توفر GnuPG، نفذ gpg --verify SHA256SUMS.gpg SHA256SUMS داخل مجلد التنزيل. يوصي دليل GnuPG بتسمية ملف البيانات الموقع صراحة عند فحص توقيع منفصل. التوقيع السليم يربط الملف بالمفتاح، لكن عليك التأكد من أنه مفتاح Ubuntu المقصود. توقف عند توقيع غير صالح أو هوية مفتاح لم تحسم.

بعد ذلك نفذ sha256sum -c SHA256SUMS واقرأ المخرجات كاملة. قد تشمل القائمة صوراً لم تنزلها؛ المطلوب ظهور OK لاسم ملف ISO الخاص بك تحديداً، وليس لملف مختلف. إذا فشل فحصه فلا تثبته: احصل على نسخة جديدة من مصدر رسمي وأعد الخطوتين.