ubuntu 镜像下载安全吗

Ubuntu 镜像下载的安全性

总体判断 从官方站点 releases.ubuntu.com获取镜像，并在下载后用SHA256 校验与GPG 签名进行验证，通常是安全可靠的；即便 ISO 来自第三方镜像站，只要其对应的SHA256SUMS.gpg签名验证通过，也能确认镜像未被篡改。需要注意的是，部分镜像站可能使用HTTP或不启用HTTPS，因此不应仅依赖镜像站提供的摘要文件，应以官方发布页的签名为准。

安全下载与验证步骤

• 下载镜像与校验文件：从releases.ubuntu.com/<版本>/同时获取ISO、SHA256SUMS与SHA256SUMS.gpg。
• 验证签名：导入 Ubuntu 发布密钥（示例指纹：790B C77A 981E 73F8 38EC F0BB F6E6 A532 F9D3 7F1C），执行
  gpg --keyserver keyserver.ubuntu.com --recv-keys 0xF6E6A532F9D37F1C
  gpg --verify SHA256SUMS.gpg SHA256SUMS
  看到“Good signature”表示哈希清单可信。
• 校验完整性：执行
  sha256sum -c SHA256SUMS 2>&1 | grep ‘ubuntu-<版本>-.*iso’
  显示“OK”即文件完整。
• 制作启动介质：Windows 可用Rufus，Linux 可用dd；注意选择正确的UEFI/GPT或BIOS/MBR分区方案。

常见风险与规避

• 仅用哈希不够安全：攻击者可能同时替换 ISO 与哈希文件；应先验证SHA256SUMS.gpg的签名，再比对哈希。
• 不要信任第三方摘要页：即便 ISO 来自镜像站，也应回到releases.ubuntu.com获取SHA256SUMS与SHA256SUMS.gpg进行验证。
• 警惕非官方“分享链接”：博客、论坛、网盘等再分发页面并非可信来源，务必回到官方发布页或可信镜像的官方页面。
• 校验环境要安全：避免在公共或不可信终端执行校验与写盘操作。

快速命令清单

• 获取并校验
  wget https://releases.ubuntu.com/22.04/SHA256SUMS
  wget https://releases.ubuntu.com/22.04/SHA256SUMS.gpg
  gpg --keyserver keyserver.ubuntu.com --recv-keys 0xF6E6A532F9D37F1C
  gpg --verify SHA256SUMS.gpg SHA256SUMS
  sha256sum -c SHA256SUMS 2>&1 | grep ‘ubuntu-22.04.*iso’
• 写盘示例（Linux）
  sudo dd if=ubuntu-22.04-desktop-amd64.iso of=/dev/sdX bs=4M status=progress
  完成后在 BIOS/UEFI 中设置正确的启动顺序。