Tóm tắt nhanh

  • Xác minh ISO Ubuntu xác nhận hai điều: tệp thực sự đến từ Ubuntu, và tệp không bị hỏng hay bị thay đổi trong quá trình tải xuống.
  • Quy trình gồm hai bước, phải làm đúng thứ tự: kiểm tra chữ ký GPG trên tệp SHA256SUMS trước, sau đó kiểm tra tổng kiểm SHA256 trên chính ISO.
  • Bước GPG quan trọng vì nó chứng minh tệp tổng kiểm không bị giả mạo. Nếu bỏ qua bước này, việc so sánh ISO với một tệp tổng kiểm chưa được xác minh sẽ không chứng minh được gì.
  • Nếu ISO là bản chính thức, bước GPG sẽ cho ra Good signature và bước SHA256 cho ra OK. Bất kỳ kết quả nào khác đều có nghĩa là tệp không an toàn để sử dụng.

Giới thiệu

Bạn vừa tải một ISO Ubuntu về máy. Trước khi ghi nó ra USB và khởi động, bạn nên xác minh tệp. Việc này chỉ mất vài phút nhưng bảo vệ bạn khỏi các bản tải xuống bị hỏng và các tệp đã bị can thiệp.

Trong hướng dẫn này, tôi sẽ đi qua từng bước để xác minh tính toàn vẹn và tính xác thực của ISO Ubuntu, dùng chính kết quả của một phiên xác minh thực tế, đồng thời giải thích từng lệnh để bạn hiểu mình đang làm gì và vì sao.

Vì sao nên xác minh ISO Ubuntu

Khi tải ISO từ Internet, hai vấn đề có thể xảy ra. Thứ nhất, tệp có thể bị hỏng trong quá trình truyền: kết nối bị ngắt hoặc lỗi đĩa có thể âm thầm làm hỏng một phần tệp. Thứ hai, và nghiêm trọng hơn, ai đó có thể thay tệp bằng một phiên bản độc hại.

Ubuntu cung cấp hai công cụ để chống lại cả hai vấn đề. Chữ ký GPG chứng minh tệp tổng kiểm thực sự đến từ Canonical, công ty đứng sau Ubuntu. Tổng kiểm SHA256 chứng minh ISO của bạn khớp chính xác với tệp đáng tin cậy đó.

Có thể hình dung như sau: GPG xác nhận chiếc thước là thật, rồi chiếc thước đó đo ISO của bạn. Hai bước phải làm theo đúng thứ tự, vì bước thứ hai phụ thuộc vào bước thứ nhất.

Những gì bạn cần trước khi bắt đầu

  • Tệp ISO bạn đã tải xuống.
  • Hai tệp nhỏ từ trang web Ubuntu: SHA256SUMS và SHA256SUMS.gpg.
  • Một terminal và hai công cụ dòng lệnh: gpg và sha256sum.

Hầu hết hệ thống Ubuntu đã cài sẵn hai công cụ này. Nếu bạn dùng Windows, tôi khuyên cài WSL (Windows Subsystem for Linux), vì PowerShell không xử lý được bước GPG. Nếu bạn dùng macOS, bạn có thể cài các công cụ bằng Homebrew. Trên Ubuntu, nếu công cụ chưa có, bạn cần quyền sudo để cài đặt — xem Bước 1.

Bước 1: Xác nhận công cụ đã sẵn sàng

Mở terminal:

  • Ubuntu desktop: nhấn Ctrl + Alt + T
  • Windows: mở terminal WSL
  • macOS: mở Terminal từ Applications → Utilities

Gõ hai lệnh sau, mỗi lần một lệnh:

gpg --version
sha256sum --version

Nếu cả hai lệnh in ra số phiên bản, bạn đã sẵn sàng tiếp tục. Nếu thấy "command not found", hãy cài công cụ bằng lệnh sau trên Ubuntu (cần quyền sudo):

sudo apt install gnupg coreutils

Bước 2: Đặt cả ba tệp vào cùng một thư mục

Bước này quan trọng, và người mới thường bỏ qua. Cả ba tệp phải nằm trong cùng một thư mục, nếu không các lệnh sẽ không tìm thấy chúng.

Ba tệp cần có:

  • Một ISO Ubuntu. Trong ví dụ này, chúng ta dùng ảnh Ubuntu 26.10 beta.
  • SHA256SUMS
  • SHA256SUMS.gpg

Di chuyển đến thư mục tải xuống:

cd ~/Downloads

Kiểm tra xem các tệp đã có mặt chưa:

$ ls
SHA256SUMS  SHA256SUMS.gpg  ubuntu-26.10-beta-desktop-amd64.iso

Nếu thiếu tệp chữ ký gpg và tệp tổng kiểm SHA256, hãy vào trang tải xuống Ubuntu và tải chúng; hai tệp này thường nằm gần đầu trang.

Tải cả hai tệp bằng curl:

curl -O https://releases.ubuntu.com/26.10/SHA256SUMS
curl -O https://releases.ubuntu.com/26.10/SHA256SUMS.gpg

Hoặc bằng wget:

wget https://releases.ubuntu.com/26.10/SHA256SUMS
wget https://releases.ubuntu.com/26.10/SHA256SUMS.gpg

Bạn cũng có thể nhấp chuột phải vào từng tệp rồi lưu lại.

Sau đó kiểm tra lại bằng lệnh ls; bạn sẽ thấy cả ba tên tệp được liệt kê cùng nhau.

Bước 3: Nhập khóa công khai của Ubuntu

Khi bạn tải hai tệp — ISO và tệp tổng kiểm SHA256SUMS — bạn không có lý do nội tại nào để tin cả hai. Chúng đến từ cùng một nơi qua cùng một kết nối; nếu ai đó đã sửa một tệp thì cũng có thể đã sửa cả tệp kia.

GPG thực sự làm gì

Ubuntu tạo tệp SHA256SUMS, sau đó dùng khóa riêng của mình để tạo chữ ký số cho tệp đó. Chữ ký này được lưu trong tệp SHA256SUMS.gpg.

Khóa riêng là bí mật. Chỉ Ubuntu giữ nó, và không ai khác có thể tạo được chữ ký hợp lệ bằng khóa đó.

Cách xác minh hoạt động

Ubuntu cũng công bố một khóa công khai mà bất kỳ ai cũng có thể tải về. Khóa công khai này xác minh được chữ ký tạo bằng khóa riêng tương ứng, nhưng không thể tạo chữ ký.

Khi bạn chạy gpg --verify SHA256SUMS.gpg SHA256SUMS, GPG thực hiện ba việc:

  1. Đọc tệp chữ ký.
  2. Kiểm tra chữ ký về mặt toán học với tệp SHA256SUMS.
  3. Kiểm tra rằng chữ ký được tạo bằng khóa riêng khớp với khóa công khai của Ubuntu mà bạn đã nhập trước đó.

Nếu cả ba kiểm tra đều đạt, bạn nhận được Good signature. Điều này chứng minh hai việc:

  • Tệp SHA256SUMS chưa bị sửa đổi kể từ khi Ubuntu ký nó.
  • Chữ ký thực sự do người nắm giữ khóa riêng của Ubuntu tạo ra.

Vì sao điều này quan trọng

Kẻ tấn công có thể sửa tệp SHA256SUMS, nhưng không thể tạo chữ ký hợp lệ mới cho nó vì không có khóa riêng của Ubuntu. Vì vậy bước kiểm tra GPG sẽ phát hiện hành vi giả mạo.

Khi đã biết tệp SHA256SUMS là thật, bạn có thể tin các tổng kiểm bên trong nó. Đến lúc đó, và chỉ đến lúc đó, bước kiểm tra SHA256 trên ISO của bạn mới có ý nghĩa.

Nói đơn giản, GPG giống như con dấu sáp trên một phong bì. Muốn kiểm tra một tài liệu có mang dấu của Ubuntu hay không, trước tiên bạn cần một bản sao con dấu của Ubuntu trên máy mình.

Bây giờ hãy nhập khóa công khai chính thức của Ubuntu:

gpg --keyid-format long --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 0x46181433FBB75451 0xD94AA3F0EFE21092

Lệnh này gồm ba phần. Cờ --keyserver trỏ tới máy chủ công khai nơi lưu khóa của Ubuntu; tôi thêm :80 để buộc dùng cổng thường hoạt động khi cổng mặc định bị chặn. Cờ --recv-keys tải hai ID khóa cụ thể ghi ở cuối lệnh.

Đây là kết quả thực tế từ phiên của chúng tôi:

gpg: key D94AA3F0EFE21092: public key "Ubuntu CD Image Automatic Signing Key (2012) <[email protected]>" imported
gpg: key 46181433FBB75451: public key "Ubuntu CD Image Automatic Signing Key <[email protected]>" imported
gpg: Total number processed: 2
gpg:               imported: 2

Việc này chỉ cần làm một lần. Các khóa sẽ nằm lại trên máy cho những lần xác minh sau.

Bước 4: Xác minh chữ ký (kiểm tra tính xác thực)

Giờ ta kiểm tra xem tệp SHA256SUMS có thực sự mang con dấu của Ubuntu hay không.

gpg --keyid-format long --verify SHA256SUMS.gpg SHA256SUMS

Tệp đầu tiên là chữ ký, tệp thứ hai là tệp được ký.

Đây là kết quả thực tế từ phiên của chúng tôi:

gpg: Signature made Friday 02 October 2026 12:10:39 AM IST
gpg:                using RSA key 843938DF228D22F7B3742BC0D94AA3F0EFE21092
gpg: Good signature from "Ubuntu CD Image Automatic Signing Key (2012) <[email protected]>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 8439 38DF 228D 22F7 B374  2BC0 D94A A3F0 EFE2 1092

Đọc lần lượt: hai dòng đầu cho biết chữ ký được tạo khi nào và bằng khóa nào; dấu vân tay ở dòng cuối là định danh duy nhất của khóa.

Dòng thứ ba mới là dòng quan trọng: Good signature. Đó là dấu hiệu con dấu là thật.

Bạn cũng sẽ thấy cảnh báo sau:

gpg: WARNING: This key is not certified with a trusted signature!

Đừng lo. Cảnh báo này khiến gần như mọi người bối rối trong lần xác minh đầu tiên. Nó chỉ có nghĩa là bạn chưa tự ký khóa của Ubuntu bằng khóa riêng của mình. Vì bạn tải khóa trực tiếp từ keyserver chính thức của Ubuntu, bạn có thể tin khóa đó; dòng Good signature mới là điều quan trọng.

Tuy nhiên, nếu thấy BAD signature, hãy dừng lại ngay. Điều đó có nghĩa là tệp tổng kiểm đã bị giả mạo. Hãy xóa cả hai tệp SHA256SUMS và tải chúng lại.

Bước 5: Xác minh ISO Ubuntu (kiểm tra tính toàn vẹn)

Giờ tệp tổng kiểm đã đáng tin, ta dùng nó như chiếc thước để đo ISO.

sha256sum --check SHA256SUMS --ignore-missing

Cờ --check yêu cầu công cụ so sánh các tệp với danh sách. Cờ --ignore-missing ngăn lỗi với những tệp có trong danh sách mà bạn không tải về, chẳng hạn ISO dành cho máy chủ.

Đây là kết quả thực tế từ phiên của chúng tôi:

ubuntu-26.10-beta-desktop-amd64.iso: OK

Từ OK nghĩa là dấu vân tay của ISO khớp chính xác với bản chính thức. Nếu thấy FAILED, ISO đã bị hỏng hoặc bị can thiệp: hãy xóa nó và tải lại.

Khắc phục sự cố thường gặp

Nếu có sự cố, hãy xem bảng này trước khi hoảng. Mọi mục dưới đây đều xuất phát từ những vấn đề người dùng thực sự gặp trong quá trình xác minh.

Triệu chứng Nguyên nhân có thể Cách xử lý
BAD signature khi kiểm tra chữ ký Tệp SHA256SUMS hoặc SHA256SUMS.gpg bị giả mạo hay tải chưa đầy đủ Xóa cả hai tệp và tải lại từ trang chính thức của Ubuntu
Cảnh báo "not certified with a trusted signature" Bạn chưa ký khóa công khai của Ubuntu bằng khóa của riêng mình Có thể bỏ qua nếu bạn thấy Good signature và đã tải khóa từ keyserver chính thức
FAILED khi kiểm tra ISO ISO bị hỏng hoặc bị can thiệp Xóa ISO và tải lại bản mới từ trang chính thức của Ubuntu
"command not found" với gpg hoặc sha256sum Công cụ chưa được cài đặt Trên Ubuntu, cài bằng sudo apt install gnupg coreutils (cần quyền sudo); trên macOS, cài bằng Homebrew
Không tìm thấy tệp khi chạy lệnh Các tệp không nằm trong cùng một thư mục Chuyển đến thư mục chứa cả ba tệp bằng cd ~/Downloads

Việc cần làm sau khi xác minh

Khi bạn thấy OK, ISO đã được xác nhận an toàn, nên bạn có thể ghi nó ra USB hoặc khởi động trong máy ảo.

Có nhiều công cụ đáng tin cậy để ghi ISO ra USB.

Công cụ dòng lệnh:

  • Cách tạo ổ USB đa khởi động với Ventoy trên Linux
  • Cách tạo ổ USB khởi động bằng lệnh dd
  • Bootiso giúp bạn tạo ổ USB khởi động an toàn trên Linux

Công cụ đồ họa:

  • Tạo ổ USB khởi động với Ventoy WebUI trên Linux
  • Tạo ổ USB và thẻ SD khởi động với Etcher trên Linux
  • Popsicle – tạo nhiều ổ USB khởi động cùng lúc
  • Tạo ổ USB khởi động với USBImager trên Linux
  • Kindd – giao diện đồ họa cho lệnh dd

Nếu bạn định cài đặt và thử nghiệm Ubuntu trên hypervisor như VirtualBox, KVM hoặc Proxmox, bạn không cần tạo phương tiện khởi động; thay vào đó có thể khởi động trực tiếp ảnh ISO trong phần mềm ảo hóa.

Câu hỏi thường gặp (FAQ)

H: Tôi có cần xác minh mọi ISO Ubuntu mình tải xuống không?

Đ: Có. Việc xác minh chỉ mất vài phút và bảo vệ bạn khỏi tệp bị hỏng lẫn các bản tải xuống bị giả mạo. Nó cũng xác nhận bạn đang cài đặt đúng những gì Ubuntu phát hành.

H: Vì sao phải xác minh tệp tổng kiểm trước ISO?

Đ: Vì tệp tổng kiểm là chiếc thước của bạn. Nếu ai đó sửa chiếc thước, mọi phép đo thực hiện với nó đều trở nên vô nghĩa. Xác minh tệp tổng kiểm trước sẽ thiết lập chuỗi tin cậy khiến bước kiểm tra thứ hai có ý nghĩa.

H: Cảnh báo "not certified with a trusted signature" nghĩa là gì?

Đ: Nghĩa là bạn chưa tự ký khóa công khai của Ubuntu bằng khóa của riêng mình. Cảnh báo này xuất hiện với hầu hết mọi người trong lần xác minh đầu tiên. Miễn là bạn thấy Good signature và đã tải khóa từ keyserver chính thức của Ubuntu, bạn có thể bỏ qua nó một cách an toàn.

H: Tôi có thể dùng PowerShell trên Windows thay cho WSL không?

Đ: Không, không thể cho toàn bộ quy trình. PowerShell tính được hash SHA256, nhưng không xác minh chữ ký GPG một cách dễ dàng. Vì lý do đó, WSL là lựa chọn tốt hơn trên Windows.

H: Điều gì xảy ra nếu bước kiểm tra ISO báo FAILED?

Đ: ISO của bạn đã bị hỏng hoặc bị giả mạo. Dù là trường hợp nào, bạn nên xóa nó ngay và tải bản mới từ trang web chính thức của Ubuntu, rồi chạy lại các bước xác minh.

Tóm tắt

Toàn bộ quy trình gói trong năm dòng:

  1. Mở terminal.
  2. Đặt ISO, SHA256SUMS và SHA256SUMS.gpg vào cùng một thư mục.
  3. Nhập khóa công khai của Ubuntu (bước chỉ làm một lần).
  4. Chạy gpg --verify và tìm "Good signature".
  5. Chạy sha256sum --check và tìm "OK".

Hai bước kiểm tra, theo đúng thứ tự đó. Nếu cả hai đều đạt, ISO của bạn an toàn để sử dụng.

Suy nghĩ cuối

Xác minh ISO Ubuntu rất quan trọng, vì nó xác nhận hai điều trước khi bạn tin tệp với máy tính của mình: ISO thực sự đến từ Ubuntu, và nó không bị hỏng hay bị thay đổi trong quá trình tải xuống.

Nếu không xác minh, bạn chấp nhận rủi ro theo hai hướng. Một ISO bị hỏng có thể không khởi động hoặc không cài đặt được, làm mất thời gian và có thể gây hại cho hệ thống. Một ISO bị giả mạo còn tệ hơn: nó có thể chứa mã độc chạy với toàn quyền truy cập máy của bạn khi bạn khởi động hoặc cài đặt.

Quá trình xác minh bắt được cả hai vấn đề. Bước kiểm tra chữ ký GPG trên tệp tổng kiểm chứng minh tệp đến từ Ubuntu và chưa bị sửa đổi; bước kiểm tra SHA256 sau đó chứng minh ISO của bạn khớp chính xác với tệp đáng tin cậy đó. Cùng nhau, chúng cho bạn sự chắc chắn rằng thứ bạn sắp chạy đúng là những gì Ubuntu phát hành.