로컬 하드웨어 개발을 위한 Linux 애플리케이션.

받은 파일이 우리가 만든 것인지 확인하세요.

제품마다 별도의 릴리스 키와 변경 불가능한 신뢰 파일을 사용합니다. 받은 제품에 해당하는 키와 링크만 사용하세요.

ISA Design Studio · 체크섬 서명 키

Ed25519입니다. 키 식별자와 바이트는 인증된 패키지 다운로드와 별도로 고정되어 있습니다.

isa-download-ed25519-2026-01
qqPYrXLxnAe3qE/rVcmf7wNUj3ZQR38VaEYOF+3QzV8=

• SHA256SUMS
• SHA256SUMS.sig

체크섬과 detached 서명

curl -fLO https://www.altifigence.com/downloads/isa-design-studio/trust/SHA256SUMS
curl -fLO https://www.altifigence.com/downloads/isa-design-studio/trust/SHA256SUMS.sig

{ printf '302a300506032b6570032100' | xxd -r -p
  printf 'qqPYrXLxnAe3qE/rVcmf7wNUj3ZQR38VaEYOF+3QzV8=' | base64 -d
} | { echo "-----BEGIN PUBLIC KEY-----"; base64 -w64; echo "-----END PUBLIC KEY-----"; } > isa-download.pem

openssl pkeyutl -verify -pubin -inkey isa-download.pem \
  -rawin -in SHA256SUMS -sigfile SHA256SUMS.sig

grep -E '^[0-9a-f]{64}  altifigence-isa-design-studio_0\.1\.1_amd64\.deb$' \
  SHA256SUMS > PACKAGE.SHA256
test "$(wc -l < PACKAGE.SHA256)" -eq 1
sha256sum -c PACKAGE.SHA256

먼저 전체 manifest의 서명을 확인합니다. 마지막 세 명령은 정확한 패키지 항목 하나만 골라 실제로 받은 패키지만 검사합니다. 하나라도 실패하면 사용을 멈추세요.

SystemVerilog IDE · 체크섬 서명 키

Ed25519입니다. 키 식별자와 바이트는 인증된 패키지 다운로드와 별도로 고정되어 있습니다.

ide-download-2026-08-v1
0Km02/+3ttNrM7J6RZ7dTFIPa4TLTMrbrJ0OUOvgjsE=

• SHA256SUMS
• SHA256SUMS.sig

curl -fLO https://www.altifigence.com/downloads/systemverilog-ide/trust/SHA256SUMS
curl -fLO https://www.altifigence.com/downloads/systemverilog-ide/trust/SHA256SUMS.sig

{ printf '302a300506032b6570032100' | xxd -r -p
  printf '0Km02/+3ttNrM7J6RZ7dTFIPa4TLTMrbrJ0OUOvgjsE=' | base64 -d
} | { echo "-----BEGIN PUBLIC KEY-----"; base64 -w64; echo "-----END PUBLIC KEY-----"; } > ide-download.pem

openssl pkeyutl -verify -pubin -inkey ide-download.pem \
  -rawin -in SHA256SUMS -sigfile SHA256SUMS.sig

grep -E '^[0-9a-f]{64}  altifigence-systemverilog-ide_0\.1\.6_amd64\.deb$' \
  SHA256SUMS > PACKAGE.SHA256
test "$(wc -l < PACKAGE.SHA256)" -eq 1
sha256sum -c PACKAGE.SHA256

ISA Design Studio · 패키지 서명

검증에는 두 층이 있습니다. 자산 묶음을 통째로 받았다면 위처럼 SHA256SUMS를 보고, 패키지 파일 하나만 손에 쥐었다면 그 안에 들어 있는 서명을 봅니다. 사내 미러나 USB를 거치면 남는 것은 .deb 하나뿐이므로 두 번째가 중요합니다. 아래 지문은 반드시 이 페이지에서 읽어 가세요 — 같은 다운로드에 들어 있는 값으로 그 다운로드를 검증하면 아무것도 증명하지 못합니다.

debsig-verify를 설치하면 그 기계의 모든 설치가 바뀝니다. dpkg는 이 프로그램이 PATH에 있으면 패키지를 풀 때마다 호출하고, 정책이 없는 패키지는 전부 거부합니다. 배포판의 나머지 패키지가 설치되지 않는다는 뜻입니다. 그래서 아래 절차는 패키지마다 직접 실행하는 형태이며, 상시 강제는 자기가 쓰는 패키지 전부에 정책을 갖춘 사람이 켤 일입니다. 되돌리려면 sudo apt-get remove debsig-verify, 급할 때는 dpkg --no-debsig입니다.

• altifigence-desktop.pol — 어떤 키가 우리 패키지에 서명할 수 있는지 dpkg에 알려 주는 정책입니다.
• altifigence-desktop.gpg — 그 키 자체이며, debsig-verify가 읽는 OpenPGP 키링 형식입니다.
• altifigence-desktop-packages.asc — 같은 공개키를 사람이 확인할 수 있는 armored 형식으로 제공합니다.

둘 다 지문과 같은 이름의 디렉토리에 넣습니다. 그 디렉토리 이름이 곧 신뢰하기로 한 키이므로, 만들기 전에 위 값과 같은지 확인하세요.

sudo apt-get install debsig-verify

FPR=424A21FF75925085003DBD46C0DA0C25F6B82E42
curl -fLO https://www.altifigence.com/downloads/isa-design-studio/trust/altifigence-desktop.pol
curl -fLO https://www.altifigence.com/downloads/isa-design-studio/trust/altifigence-desktop.gpg

sudo mkdir -p "/usr/share/debsig/keyrings/$FPR" "/etc/debsig/policies/$FPR"
sudo cp altifigence-desktop.gpg "/usr/share/debsig/keyrings/$FPR/"
sudo cp altifigence-desktop.pol "/etc/debsig/policies/$FPR/"

debsig-verify altifigence-isa-design-studio_0.1.1_amd64.deb

SystemVerilog IDE · 패키지 서명

• altifigence-desktop.pol — 어떤 키가 우리 패키지에 서명할 수 있는지 dpkg에 알려 주는 정책입니다.
• altifigence-desktop.gpg — 그 키 자체이며, debsig-verify가 읽는 OpenPGP 키링 형식입니다.
• altifigence-desktop-packages.asc — 같은 공개키를 사람이 확인할 수 있는 armored 형식으로 제공합니다.

FPR=1AD14D70B6EB0DDE1119E705F44BC2496665A843
curl -fLO https://www.altifigence.com/downloads/systemverilog-ide/trust/altifigence-desktop.pol
curl -fLO https://www.altifigence.com/downloads/systemverilog-ide/trust/altifigence-desktop.gpg

sudo mkdir -p "/usr/share/debsig/keyrings/$FPR" "/etc/debsig/policies/$FPR"
sudo cp altifigence-desktop.gpg "/usr/share/debsig/keyrings/$FPR/"
sudo cp altifigence-desktop.pol "/etc/debsig/policies/$FPR/"

debsig-verify altifigence-systemverilog-ide_0.1.6_amd64.deb

종료 코드가 답입니다.

• 0 — 우리가 서명했고 내용이 그대로입니다.
• 10 — 서명이 아예 없습니다.
• 11 — 서명은 있지만 그 키의 정책이 없습니다. 위 두 파일을 넣기 전에는 이것이 정상입니다.
• 13 — 서명과 내용이 맞지 않습니다. 파일이 바뀌었습니다.

Altifigence CLI · 서명된 아카이브

CLI는 Debian 패키지가 아닙니다. 압축을 풀기 전에 고정된 릴리스 공개키 다이제스트와 detached 아카이브 서명을 확인하세요.

rsa4096:d4b5b6c2d55fa8fe46a2f8e2fd80ac3b4cb06082fa537bb9ac57df0bd58e0564
public-key DER SHA-256: d4b5b6c2d55fa8fe46a2f8e2fd80ac3b4cb06082fa537bb9ac57df0bd58e0564

• SHA256SUMS
• SHA256SUMS.sig
• altifigence-cli-v0.1.0-x86_64-unknown-linux-gnu.tar.gz.sig
• CLI-RELEASE-PUBLIC-KEY.pem

EXPECTED_CLI_PUBLIC_KEY_SHA256=d4b5b6c2d55fa8fe46a2f8e2fd80ac3b4cb06082fa537bb9ac57df0bd58e0564
ACTUAL_CLI_PUBLIC_KEY_SHA256="$(openssl pkey -pubin \
  -in CLI-RELEASE-PUBLIC-KEY.pem -outform DER \
  | sha256sum | cut -d' ' -f1)"
test "$ACTUAL_CLI_PUBLIC_KEY_SHA256" = "$EXPECTED_CLI_PUBLIC_KEY_SHA256"

openssl dgst -sha256 -verify CLI-RELEASE-PUBLIC-KEY.pem \
  -signature altifigence-cli-v0.1.0-x86_64-unknown-linux-gnu.tar.gz.sig \
  altifigence-cli-v0.1.0-x86_64-unknown-linux-gnu.tar.gz

빌드 provenance

각 패키지에는 어떤 워크플로가 어떤 커밋에서 정확히 이 바이트를 만들었는지에 대한 서명된 진술이 붙습니다. GitHub CLI가 공개 투명성 로그와 대조해 확인합니다.

gh attestation verify altifigence-systemverilog-ide_0.1.6_amd64.deb \
  --repo altifigence-internal/ide

다른 경로로 받은 파일도 독립적으로 검사할 수 있도록 검증 파일은 공개합니다. 패키지 다운로드 자체에는 여전히 인증된 Altifigence 세션이 필요합니다.