Você baixou o Fedora e pegou o arquivo CHECKSUM na página de download. Agora você quer ter certeza de que a ISO é realmente a que o Fedora publicou.
Esse trabalho tem duas partes.
Primeiro, você verifica a assinatura do arquivo CHECKSUM. Depois, usa esse arquivo já verificado para conferir o hash SHA256 de your ISO.
A verificação da assinatura e a verificação do checksum têm propósitos diferentes. Se você apenas comparar your ISO com um checksum vindo de um arquivo não verificado, não tem como saber se esse checksum foi alterado junto com a ISO.
Este guia breve explica como verificar o checksum e a autenticidade de uma ISO do Fedora pela linha de comando.
O que você precisa
Você vai precisar de:
- a ISO do Fedora que você baixou
- o arquivo CHECKSUM correspondente
- os certificados OpenPGP do Fedora
- um terminal com
curl,gpgvesha256sum
Coloque a ISO e o arquivo CHECKSUM no mesmo diretório. Não é obrigatório, mas facilita o acompanhamento dos comandos.
Para fins de demonstração, usaremos a ISO beta mais recente do Fedora 45. Para o Fedora Workstation 45 Beta em um sistema Intel ou AMD de 64 bits, os arquivos atuais são:
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso
Fedora-Workstation-iso-45_Beta-1.3-x86_64-CHECKSUM
O Fedora atualmente lista esses arquivos e os comandos de verificação correspondentes em sua página de download do Fedora Workstation 45 Beta.
Clique no pequeno botão de marca de seleção.
Depois de clicar nesse ícone, você verá as instruções para verificar a ISO.
Isso não é específico das imagens beta do Fedora; vale para todas as versões do Fedora. Você verá uma pequena marca de seleção ao lado dos botões de download das imagens do Fedora.
Por que o CHECKSUM precisa de uma assinatura
Um hash SHA256 diz se dois conjuntos de dados coincidem. Ele não diz quem produziu o hash.
Imagine que alguém substituiu sua ISO do Fedora e também forneceu um novo arquivo CHECKSUM contendo o hash da substituição. Uma simples comparação de hash daria certo, porque os dois arquivos concordam entre si.
O Fedora resolve esse problema assinando o arquivo CHECKSUM com uma chave OpenPGP.
O processo, portanto, é assim:
Fedora signing key
↓
signed CHECKSUM file
↓
SHA256 value
↓
your ISO
A primeira etapa estabelece que a informação de checksum veio de uma chave de assinatura do Fedora. A segunda confere se your ISO corresponde a ela.
Passo 1: baixar os certificados OpenPGP do Fedora
A partir do diretório que contém your ISO e o arquivo CHECKSUM, baixe os certificados do Fedora:
curl -O https://fedoraproject.org/fedora.pgp
curl -O https://fedoraproject.org/fedora.gpg
O Fedora fornece os dois arquivos em sua página atual de download do Fedora 45 Beta.
Agora você deve ter algo como:
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso
Fedora-Workstation-iso-45_Beta-1.3-x86_64-CHECKSUM
fedora.pgp
fedora.gpg
Inspecionar o chaveiro
Uma chave pública baixada da internet não é automaticamente uma chave confiável.
O Fedora publica informações sobre seus certificados OpenPGP, incluindo suas fingerprints. Confira os detalhes do certificado e compare a fingerprint relevante com a informação publicada pelo Fedora antes de confiar na chave para a verificação. O Fedora aponta para essas informações de certificado diretamente em suas instruções de download atuais.
Você pode inspecionar o chaveiro com:
gpg --show-keys --with-fingerprint ./fedora.gpg
A chave exata mostrada depende dos certificados incluídos atualmente pelo Fedora. No momento em que este guia foi escrito, os detalhes dos certificados são fornecidos para Fedora 43, 44, 45 e 46 ao executar o comando acima:
pub rsa4096 2024-08-10 [SCE]
C6E7 F081 CF80 E131 4667 6E88 829B 6066 3164 5531
uid Fedora (43) <[email protected]>
pub rsa4096 2025-01-14 [SCE]
36F6 12DC F27F 7D1A 48A8 35E4 DBFC F71C 6D9F 90A6
uid Fedora (44) <[email protected]>
pub rsa4096 2025-07-29 [SCE]
4F50 A611 4CD5 C697 6A7F 1179 655A 4B02 F577 861E
uid Fedora (45) <[email protected]>
pub rsa4096 2026-01-30 [SCE]
D924 B10D 3E81 0DAB DD8B 56B5 96E7 E914 9121 1FCE
uid Fedora (46) <[email protected]>
O importante é que a fingerprint em que você confia venha da informação publicada pelo Fedora, e não apenas do arquivo baixado.
Passo 2: verificar o arquivo CHECKSUM
Agora verifique a assinatura OpenPGP do arquivo CHECKSUM:
gpgv --keyring ./fedora.gpg \
Fedora-Workstation-iso-45_Beta-1.3-x86_64-CHECKSUM
Saída de exemplo:
gpgv: Signature made Friday 11 September 2026 07:13:24 PM IST
gpgv: using RSA key 4F50A6114CD5C6976A7F1179655A4B02F577861E
gpgv: Good signature from "Fedora (45) <[email protected]>"
Não interprete Good signature isoladamente. Isso significa que a assinatura é matematicamente válida para a chave pública usada. Você também precisa saber que a chave pública é a chave do Fedora cuja fingerprint você conferiu.
É por isso que a conferência da fingerprint vem primeiro.
Se você receber BAD signature
Pare aí.
Não use esse arquivo CHECKSUM para verificar a ISO. Confira se você baixou o arquivo CHECKSUM correto e se está usando os certificados atuais do Fedora. Se necessário, baixe os arquivos novamente da página oficial de download do Fedora e repita a verificação.
Uma assinatura inválida não é algo para contornar.
Passo 3: verificar a integridade e a autenticidade da ISO do Fedora
Depois que o arquivo CHECKSUM estiver autenticado, você pode usá-lo para conferir your ISO.
Use este comando para a imagem x86_64 do Workstation 45 Beta:
gpgv --keyring ./fedora.gpg --output - \
Fedora-Workstation-iso-45_Beta-1.3-x86_64-CHECKSUM \
| sha256sum -c --ignore-missing
O Fedora documenta esse pipeline gpgv junto com um comando sq equivalente.
Há dois comandos aqui, conectados por |.
O primeiro comando verifica o arquivo CHECKSUM e envia seu conteúdo autenticado para a saída padrão.
O segundo comando, sha256sum, lê esses checksums e os compara com os arquivos no seu computador.
Para a ISO beta do Fedora 45, você verá a seguinte saída:
gpgv: Signature made Friday 11 September 2026 07:13:24 PM IST
gpgv: using RSA key 4F50A6114CD5C6976A7F1179655A4B02F577861E
gpgv: Good signature from "Fedora (45) <[email protected]>"
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso: OK
OK significa que o hash SHA256 da ISO corresponde à entrada correspondente no arquivo CHECKSUM autenticado.
Parabéns! Você acabou de verificar a ISO contra informações de checksum protegidas pela assinatura do Fedora.
O que --ignore-missing faz?
O arquivo CHECKSUM pode conter entradas para várias imagens do Fedora. Talvez você tenha baixado apenas uma delas.
--ignore-missing diz ao sha256sum para não reclamar das outras imagens que não estão no seu computador.
Ele não ignora um checksum que falhou.
Por exemplo:
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso: FAILED
é um problema real. Pare e investigue.
E o aviso de "improperly formatted"?
Você pode ver uma saída como:
Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso: OK
sha256sum: WARNING: ... lines are improperly formatted
Isso pode acontecer porque signed CHECKSUM file contém material que o sha256sum não interpreta como uma entrada de checksum comum.
O importante é o resultado para a ISO que você realmente baixou.
OK é o que você quer.
Um resultado FAILED, um erro de arquivo ausente ou outro erro inesperado precisa ser investigado.
Portanto, não adote a regra geral de que todo aviso pode ser ignorado. Leia a saída.
Conferir o hash manualmente
Você pode calcular o hash SHA256 da ISO por conta própria:
sha256sum Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso
Para a imagem x86_64 atual do Fedora Workstation 45 Beta, o Fedora publica este SHA256 value:
71367760b4cfda9cb5a1dbe9875a2c5fd89ef8333e6fac7508c366e650207905
Uma comparação manual é útil para verificar se a ISO sofreu corrupção acidental. O próprio Fedora observa que você pode usar o SHA256 value publicado quando é só isso que você precisa para testar corrupção não intencional.
Para autenticidade, porém, o procedimento do CHECKSUM assinado é o método mais completo.
Uma observação sobre Windows e macOS
A ideia básica não muda em outros sistemas operacionais.
No Windows, o PowerShell pode calcular um hash SHA256 com:
Get-FileHash "C:\Downloads\Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso" -Algorithm SHA256
Você pode então comparar o resultado com a entrada apropriada no arquivo CHECKSUM verificado. Para a verificação completa de assinatura, você também precisará de uma implementação OpenPGP como o GnuPG.
No macOS, o comando shasum integrado pode calcular o hash:
shasum -a 256 Fedora-Workstation-Live-45_Beta-1.3.x86_64.iso
Novamente, calcular o hash é apenas a segunda parte do processo de verificação. Se você quiser estabelecer a autenticidade, verifique também a assinatura do CHECKSUM.
Se você não quiser usar a linha de comando, o Fedora Media Writer oferece uma forma gráfica de baixar o Fedora e criar a mídia de instalação. As páginas de download do Fedora também trazem as instruções de verificação manual para quem quer fazer as conferências criptográficas por conta própria.
Erros comuns
Conferir o checksum errado
Certifique-se de que o checksum pertence exatamente à ISO que você baixou. Imagens Workstation, Server, KDE, ARM e x86_64 têm arquivos e checksums diferentes.
Confiar em um arquivo CHECKSUM não verificado
Um SHA256 value que coincide não basta se o próprio checksum veio de uma fonte não confiável.
Verifique primeiro a assinatura OpenPGP.
Tratar Good signature como o processo inteiro
A assinatura precisa ter sido feita pela chave do Fedora em que você pretendia confiar. É por isso que conferir a fingerprint da chave importa.
Ignorar um checksum que falhou
Se your ISO disser FAILED, não a instale e não explique o resultado como um aviso inofensivo. Baixe a ISO novamente e verifique desde o começo.
Usar um curinga sem conferir com o que ele corresponde
Você pode ver comandos usando:
*-CHECKSUM
Isso é conveniente quando há apenas um arquivo CHECKSUM no diretório. Se você baixou várias imagens do Fedora, use o nome de arquivo exato para não haver ambiguidade.
O Fedora 45 Beta é software de pré-lançamento. Uma verificação de checksum bem-sucedida diz que your ISO corresponde à imagem que o Fedora publicou. Ela não diz nada sobre se a beta está livre de bugs ou pronta para uso em produção.
