O checksum não diz quem fez o arquivo

Conferir o SHA-256 prova que o download chegou inteiro. Não prova quem publicou o arquivo — e essa é uma pergunta diferente.

Quase todo guia de instalação de Linux termina do mesmo jeito: baixe a imagem, confira o SHA-256, siga em frente. É um bom hábito, e a gente também pede isso. Mas ele responde uma pergunta mais estreita do que parece.

O que o checksum prova

Que o arquivo que chegou no seu disco é idêntico ao que foi publicado. Ele pega download corrompido, pendrive com defeito, transferência interrompida. Isso tem valor e não é pouco.

O que ele não prova

Quem publicou. Repare: você compara o hash do arquivo com o hash que está na mesma página de onde baixou. Se alguém trocasse a imagem, publicaria o hash novo junto — e a conferência bateria certinho. Você teria verificado com sucesso um arquivo adulterado.

Não é cenário teórico. Já aconteceu com projetos sérios, de espelho comprometido a página de download invadida.

O que resolve isso é assinatura

Uma assinatura criptográfica não diz "este arquivo está inteiro". Diz "este arquivo foi assinado por quem tem a chave privada do CapivaraOS". E essa chave não está no servidor de downloads. Não está em máquina de build conectada. Ela fica offline.

Isso muda o jogo: um servidor comprometido consegue, no máximo, servir arquivos que o seu sistema vai recusar — porque não há como assiná-los.

Como conferir, na prática

O sistema já vem com a chave pública instalada. Você compara a impressão digital dela com a que publicamos:

gpg --show-keys --with-fingerprint /etc/pki/rpm-gpg/RPM-GPG-KEY-capivaraos-herd

Tem que dar exatamente isto:

C852 6722 0A81 18C9 864F  0648 BE5B 82AD C8A2 85C0

Se não bater, pare. Chave diferente significa que o sistema está confiando em alguém que não somos nós.

Uma pegadinha que vale saber

O repositório de atualizações também é assinado, e o sistema exige essa assinatura. Mas se você for testar com dnf makecache, vai se enganar: no dnf5 ele apenas avisa quando o metadado está mal assinado, e ainda termina dizendo que deu tudo certo. Quem recusa de verdade é a transação. Para testar, use dnf check-update.

Por que estamos falando disso

Porque "confie em nós" não é argumento. Essa é a razão de a gente publicar a impressão digital por extenso, explicar onde a chave privada mora, e documentar cada comando: para você poder nos contestar.

O passo a passo completo está na documentação de segurança, e o que o sistema garante — com o comando que confirma cada afirmação — está no Trust Center.

← Voltar para as notícias