CLI 독립 실행형 바이너리 검증

다운로드한 바이너리의 shasum과 GPG 서명을 모두 확인할 수 있습니다.

downloads.snyk.io의 다운로드 위치에는 sha256sums.txt.asc라는 파일이 포함되어 있습니다. 직접 다운로드할 수 있습니다: https://downloads.snyk.io/cli/stable/sha256sums.txt.asc 또는 특정 버전(예: https://downloads.snyk.io/cli/v1.666.0/sha256sums.txt.asc)으로 다운로드할 수 있습니다.

다운로드한 파일이 체크섬과 일치하는지 확인하려면 sha256sum 명령을 사용합니다. 예를 들어:

grep snyk-macos sha256sums.txt.asc | sha256sum -c -

Snyk CLI GPG 키에 대해 Snyk CLI 독립 실행 파일을 확인하려면 먼저 GPG 키를 가져옵니다.

# 467717A30B2B4658415975629691DA64D0025194는 [email protected]에 속한 키입니다.
# 이 공개 키의 사본은 이 리포지토리의 /help/_about-this-project/snyk-code-signing-public.pgp에도 있습니다.
gpg --keyserver hkps://keys.openpgp.org --recv-keys 467717A30B2B4658415975629691DA64D0025194

그런 다음 파일이 다음으로 서명되었는지 확인합니다.

gpg --verify sha256sums.txt.asc

명령 출력은 다음과 유사해야 합니다.

gpg: Signature made So  8 Jan 14:11:44 2025 CET
gpg:                using EDDSA key 467717A30B2B4658415975629691DA64D0025194
gpg: Good signature from "Snyk Limited <[email protected]>" [unknown]
gpg: WARNING: This key is not certified with a trusted signature!
gpg:          There is no indication that the signature belongs to the owner.
Primary key fingerprint: 4677 17A3 0B2B 4658 4159  7562 9691 DA64 D002 5194