4.1 Descarga de imágenes, firma y verificación de integridad

En este apartado se detallan los procedimientos para obtener las imágenes oficiales de GrapheneOS de forma segura, comprobar su autenticidad mediante firma criptográfica y garantizar su integridad antes de proceder a la instalación. El objetivo es mitigar riesgos de manipulación maliciosa y certificar que el software proviene de la fuente legítima.

4.1.1 Selección de la fuente oficial

El primer paso consiste en acceder únicamente a canales oficiales. Siempre utilice:

• El sitio web oficial de GrapheneOS: https://grapheneos.org
• Repositorios oficiales o espejos verificados por el equipo de desarrollo

Evite fuentes de terceros no autorizadas, foros sin moderación o enlaces compartidos en redes sociales que puedan haber sido comprometidos.

4.1.2 Descarga segura

Para garantizar la confidencialidad y la integridad durante la descarga, recomendamos el uso de herramientas de línea de comandos que verifiquen certificados TLS y ofrezcan reintentos automáticos:

1. Abra una terminal y ejecute:
   curl -fSL -o grapheneos-versión.img.zip https://get.grapheneos.org/images/grapheneos-versión.img.zip
2. Opcionalmente, emplee wget:
   wget --https-only --timestamping https://get.grapheneos.org/images/grapheneos-versión.img.zip
3. Descargue también los ficheros de suma de verificación y firma:
   curl -fSL -o SHA256SUMS https://get.grapheneos.org/images/SHA256SUMS
curl -fSL -o SHA256SUMS.sig https://get.grapheneos.org/images/SHA256SUMS.sig

4.1.3 Firma criptográfica

GrapheneOS publica sus sumas de verificación junto a una firma PGP generada con una clave privada de confianza. Para validar esta firma:

1. Importe la clave pública del proyecto:
   gpg --auto-key-locate nodefault,wkd --locate-keys grapheneos.org
2. Compruebe que la huella (fingerprint) coincide con la oficial:
   gpg --with-colons --import SHA256SUMS.sig
3. Verifique la firma:
   gpg --verify SHA256SUMS.sig SHA256SUMS

4.1.4 Verificación de la integridad

Con la firma legítima confirmada, proceda a cotejar el hash de la imagen descargada contra el listado de sumas:

1. Calcule el SHA-256 local:
   sha256sum grapheneos-versión.img.zip
2. Compare el resultado con la entrada correspondiente en SHA256SUMS.

Si ambos valores coinciden, la integridad del archivo está garantizada. En caso contrario, elimine la copia y repita el proceso de descarga, verifique su conexión de red y asegúrese de no contar con proxies que intercepten tráfico.

4.1.5 Resolución de errores comunes

Durante la firma y verificación, pueden surgir incidencias habituales:

• Clave no encontrada: active la localización WKD o importe la clave manualmente desde un servidor de confianza.
• Firma corrupta: compruebe que el fichero SHA256SUMS.sig se ha descargado correctamente y no esté truncado.
• Discrepancia de hash: descarte problemas de cache en proxies o mirrors alternativos, y vuelva a obtener la imagen desde el servidor oficial.

Mejores prácticas

• Realice las verificaciones en un entorno aislado o sistema dedicado para reducir vectores de ataque.
• Conserve copias de las claves públicas y huellas digitales en un lugar seguro y de sólo lectura.
• Automatice el proceso de verificación con scripts auditados para minimizar errores humanos.

4.1 Descarga de imágenes, firma y verificación de integridad

• GrapheneOS Documentation – Installation and Updates
  https://grapheneos.org/install
  Sección “Verifying release images” con pasos oficiales para la descarga y validación.
• GitHub – GrapheneOS
  https://github.com/GrapheneOS/grapheneos
  Repositorio con scripts y herramientas para automatizar la firma y la comprobación de integridad.
• Android Security Internals, Nikolay Elenkov
  Capítulo sobre Verified Boot y firma de imágenes Android, aplicable a GrapheneOS.
• Artículo “Verifying Android OTA Updates”, Android Developers Blog
  android-developers.googleblog.com
  Fundamentos de firma de paquetes y comprobación de integridad en el ecosistema Android.
• Tutorial en vídeo “GrapheneOS Installation and Verification”, canal oficial GrapheneOS en YouTube
  Demostración práctica de descarga, firma y verificación paso a paso.
• Foro discuss.grapheneos.org
  Sección “Release verification” con hilos de comunidad sobre errores comunes y soluciones.