Resumo rápido

  • Verificar uma ISO do Ubuntu confirma duas coisas: que o arquivo veio mesmo do Ubuntu e que não foi corrompido nem adulterado durante o download.
  • O processo tem duas etapas, nesta ordem: primeiro a checagem da assinatura GPG do arquivo SHA256SUMS; depois a checagem da soma SHA256 da própria ISO.
  • A etapa GPG é importante porque prova que o arquivo de somas não foi adulterado. Sem ela, comparar sua ISO com uma soma não verificada não prova nada.
  • Se a ISO do Ubuntu for legítima, você verá uma saída como Good signature na etapa GPG e OK na etapa SHA256. Qualquer outra coisa significa que o arquivo não é seguro para uso.

Introdução

Você acabou de baixar uma ISO do Ubuntu. Antes de gravá-la em um pendrive e inicializar o computador, convém verificá-la. Isso leva apenas alguns minutos e protege você contra downloads corrompidos e arquivos adulterados.

Neste guia, vou mostrar do início ao fim como verificar a integridade e a autenticidade de uma ISO do Ubuntu, usando a saída real de uma sessão de verificação. Também vou explicar cada comando, para que você entenda o que está fazendo e por quê.

Por que verificar sua ISO do Ubuntu

Ao baixar uma ISO da internet, duas coisas podem dar errado. Primeiro, o arquivo pode ser corrompido durante a transferência: uma conexão interrompida ou um erro de disco pode danificar silenciosamente parte do arquivo. Segundo, e mais grave, alguém pode substituir o arquivo por uma versão maliciosa.

O Ubuntu oferece duas ferramentas para se proteger dos dois problemas. As assinaturas GPG provam que o arquivo de somas veio mesmo da Canonical, a empresa por trás do Ubuntu. Já as somas SHA256 provam que sua ISO corresponde exatamente a esse arquivo confiável.

Pense assim: o GPG confirma que a régua é de verdade, e depois a régua mede sua ISO. As etapas precisam ser feitas nesta ordem, porque a segunda checagem depende da primeira.

O que você precisa antes de começar

Antes de começar, reúna alguns itens.

  • Primeiro, o arquivo ISO que você baixou.
  • Segundo, dois arquivos pequenos do site do Ubuntu: SHA256SUMS e SHA256SUMS.gpg.
  • Terceiro, um terminal e duas ferramentas de linha de comando chamadas gpg e sha256sum.

A maioria dos sistemas Ubuntu já traz essas ferramentas instaladas. Se você usa Windows, recomendo instalar o WSL (Windows Subsystem for Linux), porque o PowerShell não dá conta da etapa GPG. Se você usa macOS, pode instalar as ferramentas com o Homebrew.

Etapa 1: confirme que suas ferramentas estão prontas

Abra o terminal. Veja como abri-lo em cada sistema:

  • Ubuntu desktop: pressione Ctrl + Alt + T
  • Windows: abra o terminal do WSL
  • macOS: abra o Terminal em Aplicativos → Utilitários

Com o terminal aberto, digite estes dois comandos, um de cada vez:

gpg --version
sha256sum --version

Se os dois comandos exibirem um número de versão, você pode continuar. Se aparecer "command not found", instale as ferramentas. No Ubuntu, o comando abaixo usa sudo e, portanto, exige privilégios administrativos:

sudo apt install gnupg coreutils

Etapa 2: coloque os três arquivos na mesma pasta

Esta etapa é importante, e iniciantes costumam esquecê-la. Os três arquivos precisam estar na mesma pasta. Caso contrário, os comandos não vão encontrá-los.

Você precisa de:

  • Uma ISO do Ubuntu. Para fins de demonstração, usaremos a imagem beta do Ubuntu 26.10.
  • SHA256SUMS
  • SHA256SUMS.gpg

Navegue até a pasta de downloads:

cd ~/Downloads

Confira se todos os arquivos estão lá:

$ ls
SHA256SUMS  SHA256SUMS.gpg  ubuntu-26.10-beta-desktop-amd64.iso

Se os arquivos de assinatura GPG e de somas SHA256 estiverem faltando, vá até a página de download do Ubuntu e baixe-os. Eles geralmente ficam perto do topo da página de download.

Baixe os dois arquivos com curl:

curl -O https://releases.ubuntu.com/26.10/SHA256SUMS
curl -O https://releases.ubuntu.com/26.10/SHA256SUMS.gpg

Ou com wget:

wget https://releases.ubuntu.com/26.10/SHA256SUMS
wget https://releases.ubuntu.com/26.10/SHA256SUMS.gpg

Você também pode simplesmente clicar com o botão direito nesses arquivos e salvá-los.

Agora verifique de novo com o comando ls. Você deve ver os três nomes de arquivo listados juntos.

Etapa 3: importe a chave pública do Ubuntu

Ao baixar dois arquivos, a ISO e o arquivo de somas SHA256SUMS, você não tem motivo intrínseco para confiar em nenhum deles. Os dois vieram do mesmo lugar, pela mesma conexão. Se alguém adulterou um, pode ter adulterado os dois.

O que o GPG realmente faz

O Ubuntu cria o arquivo SHA256SUMS e depois usa sua chave privada para gerar uma assinatura digital para ele. Essa assinatura fica armazenada no arquivo SHA256SUMS.gpg.

A chave privada é secreta. Só o Ubuntu a possui. Ninguém mais consegue produzir uma assinatura válida com ela.

Como a verificação funciona

O Ubuntu também publica uma chave pública, que qualquer pessoa pode baixar. Essa chave pública consegue verificar assinaturas feitas com a chave privada correspondente, mas não consegue criá-las.

Quando você executa gpg --verify SHA256SUMS.gpg SHA256SUMS, o GPG faz três coisas:

  1. Lê o arquivo de assinatura.
  2. Confere matematicamente a assinatura contra o arquivo SHA256SUMS.
  3. Confere se a assinatura foi feita com a chave privada correspondente à chave pública do Ubuntu (que você importou antes).

Se as três checagens passarem, você recebe Good signature. Isso prova duas coisas:

  • O arquivo SHA256SUMS não foi modificado desde que o Ubuntu o assinou.
  • A assinatura foi realmente feita por quem detém a chave privada do Ubuntu.

Por que isso importa

Um atacante pode modificar o arquivo SHA256SUMS. Mas não consegue gerar uma nova assinatura válida para ele, porque não tem a chave privada do Ubuntu. Assim, a checagem GPG detecta a adulteração.

Depois que você sabe que o arquivo SHA256SUMS é legítimo, pode confiar nas somas dentro dele. Só então a checagem SHA256 da sua ISO passa a significar algo.

Em termos simples, o GPG funciona como um selo de cera em um envelope. Para conferir que um documento traz o selo do Ubuntu, você primeiro precisa de uma cópia do selo do Ubuntu no seu computador.

Agora, vamos importar a chave pública oficial do Ubuntu:

gpg --keyid-format long --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 0x46181433FBB75451 0xD94AA3F0EFE21092

Vou detalhar. A opção --keyserver aponta para o servidor público onde fica a chave do Ubuntu. Acrescentei :80 para forçar uma porta que costuma funcionar quando a padrão está bloqueada. A opção --recv-keys busca os dois IDs de chave específicos mostrados no final.

Veja a saída real da nossa sessão:

gpg: key D94AA3F0EFE21092: public key "Ubuntu CD Image Automatic Signing Key (2012) <[email protected]>" imported
gpg: key 46181433FBB75451: public key "Ubuntu CD Image Automatic Signing Key <[email protected]>" imported
gpg: Total number processed: 2
gpg:               imported: 2

Você só precisa fazer isso uma vez. As chaves permanecem no seu computador para verificações futuras.

Etapa 4: verifique a assinatura (checagem de autenticidade)

Agora conferimos se o arquivo SHA256SUMS realmente traz o selo do Ubuntu.

gpg --keyid-format long --verify SHA256SUMS.gpg SHA256SUMS

O primeiro arquivo é a assinatura, e o segundo é o arquivo assinado.

Veja a saída real da nossa sessão:

gpg: Signature made Friday 02 October 2026 12:10:39 AM IST
gpg:                using RSA key 843938DF228D22F7B3742BC0D94AA3F0EFE21092
gpg: Good signature from "Ubuntu CD Image Automatic Signing Key (2012) <[email protected]>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092

Vamos ler linha por linha.

As duas primeiras linhas informam quando a assinatura foi feita e qual chave foi usada. A impressão digital no final é um identificador único da chave.

A terceira linha é a que importa: Good signature. Isso indica que o selo é legítimo.

Você também verá este aviso:

gpg: WARNING: This key is not certified with a trusted signature!

Não se preocupe. Esse aviso confunde quase todo mundo na primeira vez. Ele significa apenas que você não assinou pessoalmente a chave do Ubuntu com uma chave sua. Como você buscou a chave diretamente no servidor de chaves oficial do Ubuntu, pode confiar nela. A linha Good signature é o que importa.

No entanto, se você vir BAD signature, pare imediatamente. Isso significa que o arquivo de somas foi adulterado. Apague os dois arquivos SHA256SUMS e baixe-os de novo.

Etapa 5: verifique a ISO do Ubuntu (checagem de integridade)

Agora que confiamos no arquivo de somas, usamos ele como régua para medir a ISO.

sha256sum --check SHA256SUMS --ignore-missing

A opção --check diz à ferramenta para comparar os arquivos com a lista. A opção --ignore-missing evita erros sobre arquivos da lista que você não baixou, como a ISO de servidor.

Veja a saída real da nossa sessão:

ubuntu-26.10-beta-desktop-amd64.iso: OK

A palavra OK significa que a impressão digital da sua ISO corresponde exatamente à oficial. Se você vir FAILED, a ISO está corrompida ou adulterada; apague-a e baixe de novo.

Solução de problemas comuns

Se algo der errado, consulte a tabela abaixo antes de entrar em pânico. Cada item vem de problemas reais enfrentados por usuários durante a verificação.

Sintoma Causa provável O que fazer
command not found para gpg ou sha256sum Ferramentas não instaladas No Ubuntu, instale com sudo apt install gnupg coreutils, que exige sudo; no macOS, use o Homebrew
Aviso "not certified with a trusted signature" Você não assinou a chave do Ubuntu com uma chave própria Ignore, desde que apareça Good signature e a chave tenha vindo do servidor de chaves oficial
BAD signature na etapa GPG O arquivo de somas foi adulterado Pare, apague os arquivos SHA256SUMS e baixe-os novamente
FAILED na etapa SHA256 ISO corrompida ou adulterada Apague a ISO e baixe uma cópia nova do site oficial
Os comandos não encontram os arquivos Os três arquivos não estão na mesma pasta Mova a ISO, o SHA256SUMS e o SHA256SUMS.gpg para a mesma pasta
Falha ao buscar a chave no servidor de chaves Porta padrão bloqueada Force a porta alternativa com :80

O que fazer depois da verificação

Quando você vir OK, sua ISO está confirmada como segura. Portanto, agora você pode gravá-la em um pendrive ou inicializá-la em uma máquina virtual.

Existem muitas ferramentas confiáveis para gravar a ISO em um pendrive.

Ferramentas de linha de comando para criar pendrive inicializável:

  • Como criar pendrives multiboot com o Ventoy no Linux
  • Como criar um pendrive inicializável com o comando dd
  • Bootiso permite criar com segurança um pendrive inicializável no Linux

Ferramentas gráficas para criar pendrive inicializável:

  • Criar pendrive inicializável com o Ventoy WebUI no Linux
  • Criar pendrives e cartões SD inicializáveis com o Etcher no Linux
  • Popsicle – crie vários pendrives inicializáveis de uma vez
  • Criar pendrive inicializável com o USBImager no Linux
  • Kindd – uma interface gráfica para o comando dd

Se você pretende instalar e testar o Ubuntu em um hipervisor como VirtualBox, KVM ou Proxmox, não é preciso criar mídia inicializável. Em vez disso, você pode inicializar diretamente a imagem ISO do Ubuntu dentro do software de virtualização.

Perguntas frequentes (FAQ)

P: Preciso verificar toda ISO do Ubuntu que baixo?

R: Sim, você deveria. A verificação leva apenas alguns minutos e protege contra arquivos corrompidos e downloads adulterados. Além disso, confirma que você está instalando exatamente o que o Ubuntu lançou.

P: Por que preciso verificar o arquivo de somas antes da ISO?

R: Porque o arquivo de somas é a sua régua. Se alguém adulterou a régua, toda medição feita com ela perde o sentido. Ao verificar o arquivo de somas primeiro, você estabelece uma cadeia de confiança que dá sentido à segunda checagem.

P: O que significa o aviso "not certified with a trusted signature"?

R: Significa que você não assinou pessoalmente a chave pública do Ubuntu com uma chave sua. Esse aviso aparece para quase todo mundo na primeira verificação. Desde que você veja Good signature e tenha buscado a chave no servidor de chaves oficial do Ubuntu, pode ignorá-lo com segurança.

P: Posso usar o PowerShell no Windows em vez do WSL?

R: Não, não para o processo completo. O PowerShell consegue calcular hashes SHA256, mas não verifica assinaturas GPG com facilidade. Por isso, o WSL é a melhor escolha no Windows.

P: O que acontece se a checagem da ISO disser FAILED?

R: Sua ISO está corrompida ou adulterada. Nos dois casos, apague-a imediatamente e baixe uma cópia nova do site oficial do Ubuntu. Depois, refaça as etapas de verificação.

Resumo

Veja o fluxo completo em cinco linhas:

  1. Abra um terminal
  2. Coloque a ISO, o SHA256SUMS e o SHA256SUMS.gpg na mesma pasta
  3. Importe a chave pública do Ubuntu (etapa única)
  4. Execute gpg --verify e procure por "Good signature"
  5. Execute sha256sum --check e procure por "OK"

Duas checagens, nessa ordem. Se as duas passarem, sua ISO é segura para uso.

Considerações finais

Verificar uma ISO do Ubuntu é importante porque confirma duas coisas antes de você confiar o computador ao arquivo: que a ISO veio mesmo do Ubuntu e que não foi corrompida nem alterada durante o download.

Sem a verificação, você corre risco de duas formas. Uma ISO corrompida pode falhar ao inicializar ou instalar, desperdiçando seu tempo e possivelmente danificando o sistema. Uma ISO adulterada é ainda pior: pode conter malware que roda com acesso total à sua máquina quando você inicializa ou instala o sistema.

O processo de verificação detecta os dois problemas. A checagem da assinatura GPG do arquivo de somas prova que o arquivo veio do Ubuntu e não foi modificado. A checagem SHA256 prova então que sua ISO corresponde exatamente a esse arquivo confiável. Juntas, elas dão a certeza de que o que você está prestes a executar é exatamente o que o Ubuntu lançou.