あなたの質問はいくつかの概念で少し混乱しているようです。基本から始めましょう。

ハッシュ、署名、証明書

ハッシュは、完全性を保証し、誰かがファイルやメッセージを改ざんするのを防ぐためによく使用されます。すでにファイルのハッシュがある場所そして、あなたは正しいハッシュ値を得たと思います、ファイルがハッシュと一致することを確認して、正しいファイルをインポートしていることを確認できます。しかし、新しいファイルごとに新しいハッシュが必要です。

署名は公開/秘密鍵のペアを使用して機能します。これは、正しい送信者が何かを送信したことを確認するために使用されます。署名が公開鍵と一致することを確認して、送信者が秘密鍵（送信者のみが所有する最高の秘密）にアクセスできることを確認できます。しかし、公開鍵を既に知って信頼する必要があります。

証明書はこれをさらに一歩進めます。送信者の公開鍵がまだない場合は、ブラウザに第三者認証局の公開鍵が既に組み込まれている可能性があります。お客様は、お客様のブラウザがどの認証機関を信頼するかについて正しい判断を下したと信じています。送信者の公開鍵を含む証明書に署名する認証局を信頼します。

PureOSは何をしますか？

ISOインストールイメージ

私が知っている限り、彼らは彼らのウェブサイトからインストールISOに署名しません。 Webサイトの証明書（LetsEncryptによって提供）は、ドメインを所有していることを確認します。www.pureos.net。したがって、ドメイン所有者がPureOSであると思われる場合は、ウェブサイトのコンテンツを信頼できます。

そのウェブサイトにISOのSHA256ハッシュを投稿します。 SHA256SUMリンクを参照してください。このページ。

ISOをダウンロードするときは、Linuxユーティリティsha256sumまたは同様のWindowsユーティリティを使用して、IOSファイルがハッシュと一致することを確認できます。

これは、Webサイトの所有者がISOファイルの送信者であることを知っているので安全です。

パッケージマネージャ

PureOSには公開PGPキーが付属しています。リポジトリを作成すると、apt-get updateマスター署名が検証されます。リポジトリには、すべてのパッケージのSHA256ハッシュが含まれています。したがって、apt-get installパッケージに署名するときに署名を確認できます。

apt-get installしたがって、信頼できないGPG公開鍵を直接追加しない限り、渡すすべての項目は安全でなければなりません。

SHA256は作成時に安全です。

SHA1が安全ではないと言われたでしょう。 SHAはさまざまな形で提供されています。 SHA1 はあまりにも簡単に壊れていると考えられているため、セキュリティ関連の目的には使用されなくなりました。より正確には、誰かが既存のハッシュと一致する新しいファイルを生成できるかもしれませんが、暗号化セキュリティではこれは不可能でなければなりません。

SHA1はSHA256を含むより強力なフォーマットに置き換えられました。執筆時点で（2019年5月）SHA256は依然として非常に安全です。