La guía de Canonical separa dos comprobaciones: autenticar la lista de sumas con GnuPG y comparar después la ISO descargada. Un hash tomado de una página no fiable no basta: alguien podría sustituir la imagen y también el hash que aparece junto a ella.

Descarga SHA256SUMS y SHA256SUMS.gpg de la publicación exacta que contiene tu ISO. Sigue las instrucciones actuales de Canonical sobre la clave firmante y contrasta la huella completa con una fuente Ubuntu fiable. Un nombre de usuario con apariencia oficial o una clave de ejemplo antigua no sustituyen esa comprobación.

Con GnuPG disponible, ejecuta gpg --verify SHA256SUMS.gpg SHA256SUMS en la carpeta de descarga. Su manual recomienda indicar explícitamente el archivo firmado al verificar una firma separada. Una firma correcta vincula archivo y clave; todavía debes establecer que sea la clave prevista de Ubuntu. Detente si la firma falla o la identidad sigue sin aclararse.

Después ejecuta sha256sum -c SHA256SUMS y lee la salida completa. La lista puede incluir imágenes que no descargaste: exige OK para el nombre exacto de tu ISO, no para otro archivo. Si esa verificación falla, no instales; consigue una copia nueva de una fuente oficial y repite ambas comprobaciones.