Le tutoriel Canonical distingue deux contrôles : authentifier la liste de sommes avec GnuPG, puis comparer l’ISO téléchargée. Un hash provenant d’une page non fiable ne suffit pas : un attaquant pourrait remplacer à la fois l’image et le hash affiché.

Téléchargez SHA256SUMS et SHA256SUMS.gpg pour la publication exacte contenant votre ISO. Suivez les instructions actuelles de Canonical sur la clé de signature et comparez son empreinte complète à une source Ubuntu fiable. Un nom d’utilisateur officiel en apparence ou un ancien identifiant d’exemple ne remplace pas ce contrôle.

Avec GnuPG disponible, lancez gpg --verify SHA256SUMS.gpg SHA256SUMS dans le dossier de téléchargement. Le manuel recommande de nommer explicitement le fichier signé pour une signature détachée. Une bonne signature relie fichier et clé ; il reste à confirmer que cette clé est bien celle attendue d’Ubuntu. Arrêtez-vous si la signature échoue ou si l’identité reste incertaine.

Lancez ensuite sha256sum -c SHA256SUMS et lisez la sortie complète. La liste peut inclure des images absentes de votre dossier : exigez OK pour le nom exact de votre ISO, pas celui d’un autre fichier. Si ce contrôle échoue, n’installez pas ; récupérez une nouvelle copie officielle et recommencez les deux étapes.