O que o Kali é — e o que não é

O Kali Linux é uma distribuição gratuita, de código aberto, baseada em Debian, voltada para testes de penetração avançados e auditorias de segurança, sucessora do BackTrack Linux. A documentação oficial diz que ele vem com centenas de ferramentas, configurações e scripts, cobrindo tarefas como forense computacional, engenharia reversa e detecção de vulnerabilidades. Faz parte dos projetos da comunidade OffSec e o copyright pertence à OffSec Services Limited.

O posicionamento oficial tem duas frases que vale memorizar: Kali é "feito sob medida para as necessidades de profissionais experientes de teste de penetração"; e toda a documentação no site assume que você já conhece e tem familiaridade com Linux. Oficialmente não se diz que ele não serve para uso diário; a recomendação de "não aconselhar" abaixo é minha opinião: o conjunto de ferramentas e os casos de uso são pensados para testes de segurança. Se você ainda está consolidando o básico de Linux, treine primeiro o gerenciamento de pacotes, permissões e operações cotidianas em outra distribuição, e só depois use o Kali — e mantê-lo numa máquina virtual dá menos dor de cabeça do que adotá-lo como sistema principal.

Verifique a imagem antes de instalar

A imagem é baixada de cdimage.kali.org. A forma oficial de verificação funciona em duas etapas: usar a assinatura para confirmar que a lista de somas de verificação foi assinada pelo Kali e, depois, usar essa lista para confirmar que a imagem não foi alterada.

Baixe primeiro a lista de somas de verificação e a assinatura para o diretório onde está a imagem:

wget -q https://cdimage.kali.org/current/SHA256SUMS{.gpg,}

Importe a chave de assinatura oficial do Kali, escolhendo uma das duas formas abaixo:

wget -q -O - https://archive.kali.org/archive-key.asc | gpg --import
gpg --keyserver hkps://keyserver.ubuntu.com --recv-key 827C8569F2518CC677FECA1AED65462EC8D5E4C5

Em seguida, confira a impressão digital:

gpg --fingerprint 827C8569F2518CC677FECA1AED65462EC8D5E4C5

A saída precisa ser exatamente igual à impressão digital publicada oficialmente: 827C 8569 F251 8CC6 77FE CA1A ED65 462E C8D5 E4C5. Esta etapa não pode ser pulada. A documentação oficial alerta que essa chave não é certificada por uma assinatura em quem você confia — ou seja, você ainda não confirmou que ela realmente pertence ao Kali, e é isso que conferir a impressão digital faz. Com a impressão digital batendo, verifique a assinatura:

gpg --verify SHA256SUMS.gpg SHA256SUMS

No resultado deve aparecer uma linha Good signature from. Se essa linha não aparecer, ou o ID da chave não corresponder, pare e verifique se os arquivos vieram de um mirror oficial do Kali.

Por fim, confira a soma de verificação do próprio arquivo de imagem. A página oficial não fornece um comando; este abaixo eu testei num contêiner do Kali rolling:

sha256sum -c SHA256SUMS --ignore-missing

Com a imagem presente e correspondente, a saída é nome-do-arquivo: OK e o código de saída é 0; --ignore-missing verifica apenas os arquivos que realmente existem no diretório atual, o que serve bem para quem baixou apenas uma imagem.

Contas padrão

Cada tipo de imagem é diferente; antes de instalar, identifique qual você tem em mãos:

  • Imagem de instalador (amd64): sem conta padrão; o processo de instalação pede que você crie um usuário comum.
  • Imagens live e pré-instaladas (máquinas virtuais, ARM): usuário kali, senha kali.

A documentação oficial informa que o Kali adota a política de usuário não root. Para as imagens live e pré-instaladas, cujas credenciais são públicas, minha recomendação é trocar a senha de kali no primeiro login. Além disso, a imagem de contêiner kalilinux/kali-rolling não tem um usuário kali; a imagem de contêiner não é a mesma coisa que as imagens acima, então não use ela para deduzir a situação das contas.

Qual metapacote escolher

As ferramentas do Kali são agrupadas em metapacotes, e a instalação é sempre a mesma:

sudo apt update
sudo apt install -y kali-linux-default

Os principais metapacotes listados oficialmente:

  • kali-linux-core: sistema base, sempre incluído.
  • kali-linux-headless: instalação padrão sem interface gráfica.
  • kali-linux-default: ferramentas da imagem de desktop padrão.
  • kali-linux-large: o antigo conjunto padrão de ferramentas.
  • kali-linux-everything: todos os metapacotes e ferramentas listados na página oficial.
  • kali-desktop-live: usado pela sessão live iniciada a partir da imagem.
  • kali-linux-arm: ferramentas adequadas para dispositivos ARM.
  • kali-linux-nethunter: ferramentas usadas pelo Kali NetHunter.

A documentação oficial não informa o tamanho de download ou de disco de cada metapacote; só lembra de atualizar antes de instalar, e que a atualização "pode demorar um pouco". Fiz uma simulação com apt install -s no contêiner kalilinux/kali-rolling (Kali GNU/Linux Rolling 2026.3, ambiente mínimo): o número de pacotes a instalar seria 1.813 para kali-linux-headless, 2.335 para kali-linux-default e 2.755 para kali-linux-large. Os números vêm de um ambiente mínimo; num sistema que já tem desktop instalado serão menores, mas dão a ordem de grandeza.

Na primeira instalação, começar pelo kali-linux-default é suficiente. Há ainda, nos repositórios, o kali-tools-top10, que não aparece na documentação oficial de metapacotes; no mesmo ambiente, a simulação indicou 768 pacotes — se você quiser instalar menos e se familiarizar com o ambiente, pode instalar só ele. O kali-linux-everything só vai ser maior que o large; instale o que precisar conforme a necessidade.

Uso somente em sistemas autorizados

Esta é a linha base para usar o Kali: teste apenas sistemas que você mesmo possui ou para os quais tenha autorização por escrito.

  • Autorização por escrito, especificando o escopo dos alvos de teste e o período. Nada de hosts fora do escopo, nem operações além do tempo combinado.
  • Não pratique em redes que não são suas — nem na escola nem na empresa — nem mesmo para apenas escanear portas.
  • As regras sobre varreduras e ataques não autorizados variam de país para país; o que exatamente é ilegal depende da sua região. Se estiver em dúvida sobre um alvo, trate como se não pudesse testá-lo.

Ambiente de prática

Use ambientes dedicados para treinar:

  • Rode o Kali numa máquina virtual, isolado das máquinas do dia a dia.
  • Isole também a rede, para que o tráfego de prática não apareça na rede de terceiros.
  • Use laboratórios (CTF/alvos) preparados especificamente para prática, ou um ambiente de teste montado por você. Um laboratório oferece ambientes com vulnerabilidades, mas isso não significa que qualquer operação nele seja permitida; antes de usar, leia os alvos explicitamente permitidos, o escopo das operações e os termos de uso.

Perguntas frequentes

A impressão digital não bate na verificação. E agora? Não use essa imagem. Confirme que os arquivos vieram de cdimage.kali.org ou de um mirror oficial, baixe os arquivos de verificação de novo e confira mais uma vez; se ainda houver divergência, desista.

Instalar everything ou instalar por necessidade? Por necessidade. O custo de atualização e manutenção cresce junto com a quantidade de ferramentas.

Pode instalar na máquina principal como sistema do dia a dia? A documentação oficial não proíbe; eu não recomendo. Pelos motivos do início: é uma distribuição desenhada para testes de segurança, e a documentação pressupõe que você já conhece e tem familiaridade com Linux.