Kali ISO dosyasını doğrulamanın en güvenli yolu iki adımlıdır: önce SHA256SUMS dosyasının Kali'nin resmî anahtarıyla imzalandığını GPG ile kontrol eder, sonra indirdiğiniz ISO'nun SHA256 özetinin bu dosyadaki değerle eşleştiğini doğrularsınız. Linux ve macOS'ta bu iş birkaç komutla biter; Windows'ta Gpg4win ve certutil kullanılır.

Resmî belgeler bu adımı atlamamanızı açıkça ister: kötü niyetli birinin Kali kurulumunu zararlı yazılım içerecek şekilde değiştirip resmî olmayan bir yerde yayımlaması kolaydır. Doğrulayamadığınız bir imajı kullanmak yalnızca kendi sisteminizi değil, bağlandığınız ağı ve o ağdaki diğer sistemleri de tehlikeye atabilir. Hangi imajı indireceğinizden emin değilseniz önce hangi imaj indirilmeli yazısına bakın.

Doğrulama neden bu kadar önemli?

"Downloading Kali Linux" sayfası konuyu şöyle açıklar: Kali bir sızma testi ve adli bilişim araç setidir ve bu işte araçlarınızın bütünlüğüne tam güvenmeniz kritiktir; araçlarınız güvenilir değilse yaptığınız incelemeler de güvenilir olmaz. Ayrıca Kali'ye benzeyen ama içine zararlı bileşen eklenmiş sahte bir sürüm, farkında olmadan kullanıldığında çok büyük zarar verebilir.

Bu riski azaltmanın ilk adımı Kali'yi yalnızca resmî indirme sayfasından (kali.org/get-kali) almaktır. Belgeye göre bu sayfalara SSL olmadan erişilemez ve şifreli bağlantı, indirmenizin yolda değiştirilmesini çok zorlaştırır. Yine de belge bu kaynakların bile bazı zayıf noktaları olabileceğini kabul eder ve ikinci adım olarak imajı çalıştırmadan önce her zaman doğrulamanızı ister. Kali'nin paketleri ve depoları da GPG ile imzalanır; imaj doğrulaması bu güven zincirinin ilk halkasıdır.

Üç doğrulama yöntemi ve güven düzeyleri

Üç doğrulama yöntemi ve güven düzeyleri: 1. Elle karşılaştırma, 2. Torrent ile gelen dosya, 3. SHA256SUMS ve GPG imzası

"Downloading Kali Linux" sayfası üç yöntem sayar; her biri farklı düzeyde güvence verir:

YöntemNe yapılırZayıf noktası
1. Elle karşılaştırmaISO'nun SHA256 değerini hesaplayıp indirme sayfasındakiyle karşılaştırırsınızDNS zehirlenmesiyle sahte sayfa ve sahte özet gösterilebilir
2. Torrent ile gelen dosyaTorrent ile inen imzasız .txt.sha256sum dosyasıyla otomatik kontrolTorrent sahteyse özet de sahte olabilir
3. SHA256SUMS ve GPG imzasıÖnce imzayı, sonra özeti doğrularsınızAncak resmî özel anahtar ele geçirilir ve iptal edilmezse başarısız olur

Belge üçüncü yöntemi, web sitesinin bütünlüğüne değil yalnızca bağımsız olarak kurduğunuz resmî anahtara dayandığı için en yüksek güvenceyi veren yöntem olarak tanımlar. Bu yazıda bu yöntemi esas alıyoruz.

Hazırlık: GPG kurulumu

Hazırlık: GPG kurulumu: Linux, Windows, macOS
  • Linux: Belgeye göre büyük olasılıkla GPG zaten kuruludur.
  • Windows: Gpg4win indirme sayfası üzerinden Gpg4win kurun.
  • macOS: GPGTools kurun ya da Homebrew yüklüyse brew install gnupg komutunu çalıştırın.

İndirme sunucusundan üç dosyaya ihtiyacınız var ve hepsi aynı dizinde durur: ISO dosyasının kendisi, SHA256SUMS ve imzalı sürümü SHA256SUMS.gpg. Güncel sürümün dosyaları https://cdimage.kali.org/current/ dizinindedir.

Adım 1: Kali'nin resmî anahtarını içe aktarın

Belge iki yol verir. Anahtarı doğrudan Kali arşivinden indirip içe aktarabilirsiniz:

bash
wget -q -O - https://archive.kali.org/archive-key.asc | gpg --import

ya da bir anahtar sunucusundan alabilirsiniz:

bash
gpg --keyserver hkps://keys.openpgp.org --recv-key 827C8569F2518CC677FECA1AED65462EC8D5E4C5

"Download Kali Linux Images Securely" sayfasının görünen sürümünde aynı komut hkps://keyserver.ubuntu.com anahtar sunucusuyla verilir; iki sayfa bu konuda farklıdır ama anahtar parmak izi aynıdır. Beklenen çıktı şöyledir:

text
gpg: key ED65462EC8D5E4C5: public key "Kali Linux Archive Automatic Signing Key (2025) <devel@kali.org>" imported
gpg: Total number processed: 1
gpg:               imported: 1  (RSA: 1)

Ardından anahtarın doğru kurulduğunu parmak iziyle kontrol edin:

bash
gpg --fingerprint 827C8569F2518CC677FECA1AED65462EC8D5E4C5
text
pub   rsa4096 2025-04-17 [SC] [expires: 2028-04-17]
      827C 8569 F251 8CC6 77FE  CA1A ED65 462E C8D5 E4C5
uid           [ unknown] Kali Linux Archive Automatic Signing Key (2025) <devel@kali.org>

Adım 2: SHA256SUMS imzasını doğrulayın

SHA256SUMS dosyalarını indirin. Belgedeki komut her iki dosyayı tek seferde indirir:

bash
wget -q https://cdimage.kali.org/current/SHA256SUMS{.gpg,}
gpg --verify SHA256SUMS.gpg SHA256SUMS

Başarılı bir doğrulamada şuna benzer bir çıktı görürsünüz:

text
gpg: Signature made Sun Apr 20 16:00:00 2025 EDT
gpg:                using RSA key 827C8569F2518CC677FECA1AED65462EC8D5E4C5
gpg: Good signature from "Kali Linux Archive Automatic Signing Key (2025) <devel@kali.org>" [unknown]

Belgelerden birinde bu çıktının altında "WARNING: This key is not certified with a trusted signature!" uyarısı da görünür. Bu uyarı, anahtarı kendi güven ağınızda imzalamadığınız anlamına gelir; parmak izini Adım 1'de elle doğruladıysanız asıl önemli olan "Good signature" satırı ve anahtar kimliğinin eşleşmesidir.

Adım 3: ISO özetini kontrol edin (Linux ve macOS)

İmza doğrulandıysa SHA256SUMS dosyasındaki değerlerin gerçekten Kali ekibinden geldiğinden emin olabilirsiniz. Şimdi ISO'nuzun özetini bu dosyayla karşılaştırın. Aşağıda dosya adı örnektir; kendi indirdiğiniz dosyanın adını yazın:

bash
grep kali-linux-2026.3-installer-amd64.iso SHA256SUMS | shasum -a 256 -c

Başarılı sonuç:

text
kali-linux-2026.3-installer-amd64.iso: OK

"OK" görmüyorsanız belge açıkça imajı kullanmamanızı söyler. Yalnızca özeti görmek isterseniz shasum -a 256 dosya.iso komutu da yeterlidir; çıkan değeri indirme sayfasındaki "sha256sum" değeriyle karşılaştırırsınız (bu, birinci yöntemdir).

Windows'ta doğrulama

Belge Windows için önce certutil aracının olup olmadığını kontrol etmenizi ister. Komut İstemi'ni açıp şunu çalıştırın:

bat
certutil -?

Araç varsa ISO'nun SHA256 özetini şu komutla hesaplayın:

bat
certutil -hashfile kali-linux-2026.3-installer-amd64.iso sha256

Çıkan değeri SHA256SUMS dosyasındaki ilgili satırla (ya da torrent ile indirdiyseniz .txt.sha256sum dosyasındaki değerle) elle karşılaştırın. Belgeye göre bazı Windows sürümlerinde SHA256 hesaplama özelliği yerleşik olarak yoktur; certutil yoksa Microsoft File Checksum Integrity Verifier gibi bir araç kullanabilirsiniz.

İmza kontrolü için Gpg4win kurduktan sonra Adım 1 ve Adım 2'deki gpg komutları kullanılır. Resmî belge bu adımlar için yalnızca Linux/macOS tarzı komutlar verir; Windows'ta wget ve {.gpg,} kısaltması yerine SHA256SUMS ve SHA256SUMS.gpg dosyalarını tarayıcıyla aynı klasöre indirip gpg --verify SHA256SUMS.gpg SHA256SUMS komutunu o klasörde çalıştırabilirsiniz.

Torrent ile indirdiyseniz

Torrent indirmelerinde ISO'nun yanında .txt.sha256sum uzantılı bir dosya gelir. Linux veya macOS'ta şu komutla kontrol edebilirsiniz:

bash
grep kali-linux-2026.3-installer-amd64.iso kali-linux-2026.3-installer-amd64.txt.sha256sum | shasum -a 256 -c

Bu dosya imzasızdır; bu yüzden torrent kaynağının kendisi sahteyse koruma sağlamaz. Mümkünse yine SHA256SUMS ve GPG yöntemini kullanın.

Sık yapılan hatalar

Sık yapılan hatalar: Yanlış dizin, Farklı sürümün SHA256SUMS dosyası, ARM imajları, Belge sürüm farkı
  • Yanlış dizin: grep komutu "OK" yerine hiçbir şey döndürmüyorsa ISO ve SHA256SUMS aynı klasörde olmayabilir ya da dosya adı farklı yazılmıştır.
  • Farklı sürümün SHA256SUMS dosyası: current dizini her yeni sürümde değişir. Eski bir ISO'yu doğruluyorsanız o sürümün dizinindeki SHA256SUMS dosyasını kullanın.
  • ARM imajları: "Get Kali" sayfasına göre ARM imajlarının SHA256 değerleri açılmış dosya için değil, sıkıştırılmış .img.xz dosyası içindir.
  • Belge sürüm farkı: Resmî sayfanın bir yerinde güncel sürüm "v2025.4" diye geçerken örnek dosya adları 2026.2'dir; "Get Kali" sayfasında ise güncel sürüm 2026.3'tür. Komutları her zaman kendi indirdiğiniz dosya adıyla çalıştırın.

Sık Sorulan Sorular

Sadece SHA256 kontrolü yeterli mi?

Hızlı bir kontrol sağlar ama özet değerini aynı siteden aldığınız için DNS zehirlenmesi gibi saldırılara karşı tam koruma vermez. GPG imzası kontrolü bu açığı kapatır.

"WARNING: This key is not certified" uyarısı sorun mu?

Hayır, parmak izini doğruladıysanız sorun değildir. Belirleyici olan "Good signature" satırı ve anahtar kimliğinin eşleşmesidir.

Doğrulama başarısız olursa ne yapmalıyım?

İmajı kullanmayın. Belgeye göre bu, imajın değiştirilmiş olabileceğini gösterir. Dosyayı resmî "Get Kali" sayfasından yeniden indirip işlemi tekrarlayın.

Doğruladıktan sonra ne yapmalıyım?

İmaj türüne göre canlı USB oluşturma, diske kurulum veya VirtualBox kurulumu yazılarıyla devam edebilirsiniz.

Marka adları sahiplerine aittir. Bu yazı bağımsız bir teknik rehberdir; adı geçen kuruluşlarla bayilik veya ortaklık ilişkisi bulunduğu anlamına gelmez.

İlgili içerikler: Kali Linux nedir? Başlangıç rehberi · Hangi imaj indirilmeli · Canlı USB oluşturma · VPS güvenlik sertleştirme