Canonicals Anleitung trennt zwei Schritte: zunächst die Prüfsummenliste mit GnuPG authentifizieren, anschließend das heruntergeladene ISO damit vergleichen. Ein Hash von einer nicht vertrauenswürdigen Seite reicht nicht aus; ein Angreifer könnte sowohl Image als auch angezeigten Hash ersetzen.

Lade SHA256SUMS und SHA256SUMS.gpg für genau die Veröffentlichung mit deinem ISO. Folge Canonicals aktuellen Hinweisen zum Signierschlüssel und gleiche den vollständigen Fingerabdruck mit einer vertrauenswürdigen Ubuntu-Quelle ab. Ein offiziell klingender Benutzername oder eine alte Beispiel-Schlüssel-ID ersetzt diese Prüfung nicht.

Führe bei vorhandenem GnuPG im Downloadordner gpg --verify SHA256SUMS.gpg SHA256SUMS aus. Das GnuPG-Handbuch empfiehlt bei einer abgetrennten Signatur die ausdrückliche Angabe der signierten Datendatei. Eine gute Signatur verbindet Datei und Schlüssel; die Zugehörigkeit des Schlüssels zu Ubuntu musst du ebenfalls klären. Bei ungültiger Signatur oder ungeklärter Identität stoppen.

Erst danach folgt sha256sum -c SHA256SUMS. Lies die vollständige Ausgabe: Die Liste kann weitere, nicht heruntergeladene Images enthalten. Entscheidend ist OK für genau deinen ISO-Dateinamen. Bei dessen Fehlprüfung nicht installieren, sondern eine neue Kopie aus offizieller Quelle laden und beide Schritte wiederholen.