Comprueba que una ISO o firmware descargado no está alterado (SHA-256)

Vas a instalar Linux o flashear un firmware y no sabes si el archivo descargado está corrupto o lo ha manipulado alguien.

Por Kike · revisada en octubre de 2026 · Nivel: Básico · Cómo verificamos

Por qué pasa (diagnóstico)

Una descarga puede llegar dañada o, peor, venir de un espejo o web falsa con malware.
Los proyectos serios publican la suma SHA-256 de cada archivo; si tu suma coincide, el archivo es idéntico al original.
La firma GPG del archivo de sumas (por ejemplo SHA256SUMS.gpg) demuestra además que esas sumas son del proyecto y no de un tercero.

Solución paso a paso

Descarga siempre desde la web oficial y apunta la suma SHA-256 que publica (o baja su archivo SHA256SUMS).
Linux: sha256sum archivo.iso. macOS: shasum -a 256 archivo.iso. Windows: certutil -hashfile archivo.iso sha256.
Compara el resultado con la suma oficial: tiene que ser exactamente igual (en Windows puede salir en mayúsculas; compáralo sin distinguir).
Con el archivo de sumas en la misma carpeta, en Linux basta sha256sum -c SHA256SUMS 2>&1 | grep OK (método de Ubuntu).
Nivel extra: verifica la firma con gpg --keyid-format long --verify SHA256SUMS.gpg SHA256SUMS y busca «Good signature».
Si no coincide: no lo uses (Kali lo advierte expresamente) y vuelve a descargarlo de la fuente oficial.

Requisitos

PC
sha256sum / shasum / certutil (vienen con el sistema)
Opcional: GnuPG

Compatibilidad

Linux, macOS, Windows

Verificación

Documentado: resumen de las fuentes oficiales citadas (leídas el 16-oct-2026). No lo hemos probado aún en nuestro laboratorio, por eso no está marcado VERIFICADO.

Fuentes

Ubuntu — Cómo verificar tu descarga de Ubuntu (en inglés)
Kali Linux — Descargar imágenes oficiales y verificarlas (en inglés)

Guías relacionadas

Más guías de Ciberseguridad para novatos.