Te falta un paso intermedio, en plan "compruebas que el hash coincide con el que debe ser" o quizá "compruebas la firma PGP" .