Se você costuma baixar isos de distribuições provavelmente já viu uma dessas extensões de arquivos, como: .asc, .sign, .md5, SHA512SUMS, SHA256SUMS. Vamos por partes.
.asc e .sign é PGP signature, ou assinatura do PGP, com esse arquivo você pode verificar se uma determinada iso pertencente realmente ao dono de uma determinada chave pública. Vamos instalar o programa seahorse para importar uma chave pública:
sudo apt-get update && sudo install seahorse
com o programa aberto, vá em Remoto e localizar chaves remotas, você pode importar uma chave pública, como por exemplo o parabola. David P. é o dono dessa chave.
Daí é só verificar a assinatura baixada com a chave pública importada de uma determinada iso, por exemplo:
gpg --verify parabola-openrc-lxde-2017.10.03-dual.iso.sig parabola-openrc-lxde-2017.10.03-dual.iso
Se aparecer como essa mensagem: gpg: Assinatura correta de “David P. (Hyperbola email address) <megver83@hyperbola.info>” a iso pertence ao dono em questão. Não se preocupe com a parte “Não há indicação de que a assinatura pertence ao dono.” Assinatura correta é o que importa.
Poderia ser com um .zip
gpg --verify replicant-6.0-i9100.zip.asc replicant-6.0-i9100.zip
Na primeira parte agente verificou se uma iso ou um arquivo .zip pertence ao dono do site, ou seja, verificamos que ela não foi adulterada em um momento.
Na segunda parte esse arquivo md5sum, sha252 ou sha512 verifica se a iso que deseja baixar está integra, ou seja, se não teve partes perdidas no processo de download, o que comprometeria o nosso propósito.
Baixe o programa gtkhash
sudo apt-get update && sudo apt-get install gtkhash
Com esse programa aberto em arquivo coloque a iso que deseja verificar a sua integridade. Abre o arquivo com a extensão md5, sha256 ou clique em editar preferências e selecione outro hash, tipo SHA512.
Copie e cole em verificar: a sequencia numérica e clique em Hash. Uma barra de progresso aparecerá e no fim uma marcação de verificado se estiver tudo ok.
Pronto!