파일을 내려받았는데 배포자가 함께 제공한 PGP 서명까지 확인하고 싶다면 Kleopatra를 사용할 수 있습니다. KDE의 무료 암호화 도구로, Linux에서 공개 인증서를 가져오고 파일의 서명을 검사할 수 있습니다. 파일을 실행하기 전에 서명과 인증서 지문을 따로 대조하는 흐름을 설명합니다.
준비할 것은 배포자의 공식 페이지에서 받은 원본 파일, 그 파일에 대응하는 서명 파일, 그리고 배포자의 공개 인증서나 신뢰할 수 있는 지문 정보입니다. Kleopatra가 서명을 기술적으로 검증하더라도 공개키가 누구 것인지 확인하지 않으면 배포자 신원을 확정한 것은 아닙니다.
서명 결과와 서명한 사람을 따로 확인합니다
Kleopatra는 KDE의 OpenPGP 및 X.509 인증서 관리 도구입니다. KDE 공식 화면의 Certificates 목록에서 이름, 이메일, 상태, 유효 기간, Key ID를 볼 수 있고 도구 모음에 Import와 Decrypt/Verify가 있습니다. 파일 서명 확인은 이 두 기능을 중심으로 진행합니다.
서명 파일은 원본 파일과 짝이 맞아야 합니다. GnuPG 설명서도 분리된 서명을 확인할 때 원본 데이터와 서명 두 가지가 필요하다고 안내합니다. 파일명만 비슷한 다른 버전의 서명을 사용하면 검증이 실패하거나 원하는 파일의 확인이 되지 않습니다.
예를 들어 배포 페이지에 원본 자료와 그 자료의 분리 서명이 따로 놓여 있다면, 두 파일을 같은 버전 묶음으로 확인해야 합니다. 서명 파일의 이름만 보고 다른 날짜에 받은 원본을 골라서는 안 됩니다. Kleopatra가 원본을 자동으로 찾지 못하면 선택 창에서 정확한 파일을 직접 지정하고, 결과 화면에 표시된 파일명을 다시 읽으세요.
KDE의 인증서 상세 화면에는 Fingerprint와 상태, 유효 기간이 표시됩니다. 이 지문을 파일과 같은 경로가 아닌 배포자의 공식 안내에서 제시한 값과 대조하는 것이 중요합니다. “유효한 서명” 메시지만 보고 파일이 무조건 안전하다고 결론 내리지 마세요.
같은 인증서가 목록에 여러 번 보이면 표시 이름보다 전체 지문과 유효 기간을 우선 확인하세요. 예시 화면에 있는 인증서를 실제 배포자의 인증서로 착각하지 않도록 주의합니다.
Kleopatra의 인증서 목록과 지문 확인 화면
KDE 공식 이미지에 있는 Certificates, Import, Decrypt/Verify와 인증서 상세의 Fingerprint 위치를 보여 줍니다. 화면 속 예시 인증서는 실제로 확인하려는 배포자의 키가 아닙니다.
| 프로그램 | Kleopatra |
| 제공 | KDE · Flathub stable |
| 공식 설치 참조 파일 | org.kde.kleopatra.flatpakref |
| 지원 | Linux x86_64 · aarch64 |
| 가격 | 무료 · Flathub Free |
| 확인한 Flathub stable 표시 | 26.04.2 |
| 주요 작업 | OpenPGP 공개 인증서 확인 · 파일 서명 검증 |
Linux용 무료 Kleopatra 배포를 확인합니다
KDE 공식 앱 페이지는 Linux 설치와 Flathub 경로를 안내합니다. Flathub 목록에서 Kleopatra, 제공자 KDE, Free 표시와 x86_64·aarch64 지원을 확인하세요. 여기서 소개하는 파일은 org.kde.kleopatra stable을 가리키는 Flatpak 참조 파일입니다.
참조 파일에 Name=org.kde.kleopatra, Branch=stable, IsRuntime=false가 적힌 것을 확인했습니다. 이것은 앱 전체가 들어 있는 실행 파일이 아니므로 저장만 해서는 사용할 수 없습니다. Flatpak을 지원하는 Linux 소프트웨어 센터로 열어 실제 설치가 끝나야 합니다.
KDE 제품 페이지에는 26.08.2 릴리스가 보이지만 확인 당시 Flathub의 stable 메타데이터에는 26.04.2가 표시됐습니다. 배포 경로별 버전이 같다고 가정하지 말고 설치 창의 제품명·출처·버전을 확인하세요. 이 글의 버튼은 Flathub stable 경로입니다.
- Linux PC의 x86_64 또는 aarch64 아키텍처를 확인합니다.
- Flathub에서 Kleopatra·KDE·Free를 대조합니다.
- stable 참조 파일을 소프트웨어 센터로 열어 설치를 마칩니다.
원본 파일·서명·공개 인증서를 준비합니다
배포자가 공식 페이지에서 서명을 제공하는 경우, 확인하려는 원본 파일과 해당 버전의 분리 서명 파일을 함께 준비합니다. 흔히 .asc나 .sig 확장자를 쓰지만 확장자만으로 진위를 판단하지 마세요. 배포자의 안내에서 어떤 서명이 어느 파일에 대응하는지 먼저 확인합니다.
공개 인증서는 서명을 만든 사람의 공개키입니다. 배포자가 파일로 제공했다면 Kleopatra의 File → Import Certificates…에서 가져올 수 있습니다. 인증서 파일이 없는 경우 Lookup on Server를 사용할 수도 있지만, 서버 검색 결과의 이름·이메일만 보고 공식 배포자의 키라고 단정하면 안 됩니다.
공개키의 Fingerprint를 배포자의 공식 페이지에 별도로 적힌 지문과 대조하세요. 같은 다운로드 위치에서 원본·서명·키를 모두 받았다면 그 한 경로가 잘못됐을 가능성도 고려해야 합니다. 공식 정보로 키 소유자를 확인하지 못하면 서명 결과를 신원 확인으로 표현하지 않습니다.
- 공식 배포처에서 원본 파일과 그 버전의 서명을 확인합니다.
- 배포자의 공개 인증서를 Kleopatra로 가져옵니다.
- 인증서 지문을 배포자의 공식 안내와 대조합니다.
인증서 목록에서 지문과 상태를 살펴봅니다
Kleopatra를 열면 Certificates 화면에 가져온 인증서가 나옵니다. 목록에는 이름, 이메일, 상태, 유효 기간과 Key ID가 표시됩니다. 이름이 같은 인증서가 여러 개일 수 있으므로 화면에서 사람 이름만 보고 원하는 키라고 판단하지 마세요.
인증서를 열어 상세 화면의 Fingerprint를 확인합니다. KDE 공식 상세 이미지에서는 User ID, Valid from, Valid until, Status, Fingerprint가 보입니다. 이 값과 공식 배포처가 공개한 지문이 일치하는지 확인해야 같은 이름의 다른 공개키를 걸러낼 수 있습니다.
인증서가 만료되거나 폐기된 것으로 표시되면 배포자가 새 키로 교체했는지 공식 안내를 다시 확인합니다. Key ID의 일부만 일치하는 것보다 전체 지문을 대조하는 편이 정확합니다. 신뢰 상태 표시는 키를 실제 배포자와 연결해 확인했다는 증거와 구분합니다.
- Certificates에서 가져온 인증서를 찾습니다.
- 상세 화면에서 전체 Fingerprint를 확인합니다.
- 공식 배포자의 지문과 상태·유효 기간을 대조합니다.
Decrypt/Verify로 파일과 서명의 짝을 검사합니다
KDE 설명서에는 File → Decrypt/Verify Files…가 파일의 복호화와 서명 확인에 쓰인다고 적혀 있습니다. Kleopatra의 도구 모음에도 Decrypt/Verify가 보입니다. 준비한 서명 파일을 선택한 뒤 원본 파일을 요구하는 경우 해당 원본을 지정해 확인을 진행합니다.
분리 서명을 확인할 때에는 서명 파일과 서명 대상 원본이 모두 필요합니다. 같은 이름이라도 다른 버전의 원본을 선택하면 결과가 맞지 않습니다. 확인이 끝나면 성공·실패 표시만 넘기지 말고 어떤 원본 파일을 어떤 인증서가 서명했다고 나오는지 봅니다.
기술적인 서명 검증에 성공해도 키 소유자 확인은 별도입니다. 지문이 공식 안내와 다르거나 확인할 근거가 없다면 그 파일을 신뢰할 수 있다고 말할 수 없습니다. 반대로 “공개키 없음”은 파일 변조 확정이 아니라 검사에 필요한 키가 아직 없다는 뜻일 수 있습니다.
- File → Decrypt/Verify Files…를 엽니다.
- 서명 파일과 대응하는 원본 파일을 지정합니다.
- 검증 결과의 파일명·서명 인증서·지문을 확인합니다.
서명 실패와 공개키 없음은 다르게 처리합니다
서명 불일치 또는 잘못된 서명으로 나오면 원본과 서명의 버전이 맞는지 먼저 확인하세요. 파일 이름이 같아도 한쪽이 다시 내려받은 새 버전이면 짝이 다를 수 있습니다. 공식 배포처의 해당 버전 파일과 서명을 다시 대조하기 전에는 파일을 실행하지 않는 편이 안전합니다.
공개키가 없다는 결과라면 배포자의 공식 공개 인증서를 가져오고 지문을 확인한 뒤 재검사합니다. 키 서버에서 이름만 같은 인증서를 임의로 선택하지 마세요. 인증서가 만료되거나 폐기됐을 때는 배포자의 최신 키 안내를 확인해야 합니다.
PGP 서명은 서명한 키와 파일 내용의 관계를 검사합니다. 악성 코드 유무를 분석하거나 배포자의 다운로드 페이지가 진짜인지 자동으로 판정하지 않습니다. 검증이 성공했다는 사실과 신뢰할 수 있는 배포처에서 받은 파일이라는 판단을 따로 기록하세요.
- 원본과 서명이 같은 버전인지 확인합니다.
- 공개키가 없으면 공식 키와 전체 지문을 확인합니다.
- 키 소유자 확인이 끝날 때까지 신뢰 판단을 보류합니다.
자주 묻는 질문
Kleopatra는 무료인가요?
네. Flathub에 Free로 표시되고 KDE에서 공개한 앱입니다. Linux용 Flathub stable 경로를 확인했습니다.
서명 파일만 있으면 확인할 수 있나요?
분리 서명은 대응하는 원본 파일도 필요합니다. 배포자의 공개 인증서가 없으면 서명자를 확인하기 어렵습니다.
“유효한 서명”이면 파일이 안전한가요?
서명 검증과 파일의 안전성은 다른 판단입니다. 배포자 공개키의 전체 지문도 공식 안내와 대조하세요.
공개키가 없다고 나오면 파일이 변조된 건가요?
그 결과만으로 변조를 단정할 수 없습니다. 공식 공개 인증서를 가져와 지문을 확인하고 다시 검사하세요.
Flathub와 KDE 페이지의 버전이 왜 다른가요?
확인 당시 KDE 릴리스 목록과 Flathub stable 표시가 달랐습니다. 이 글의 다운로드 경로는 Flathub stable이므로 설치 창의 버전을 확인하세요.
서명 결과와 배포자 지문을 함께 확인하세요
Kleopatra를 설치한 뒤 배포자가 제공한 원본 파일, 대응하는 서명, 공개 인증서를 준비하세요. 인증서 상세의 전체 Fingerprint를 공식 안내와 대조하고 Decrypt/Verify에서 서명 파일과 원본의 짝을 검사하면 확인 순서를 놓치지 않을 수 있습니다.
검증 성공 메시지는 그 키로 해당 파일이 서명됐다는 결과입니다. 키가 실제 배포자의 것인지, 받은 파일이 의도한 버전인지 별도로 확인해야 합니다. 공개키 없음과 서명 불일치는 원인이 다르므로 표시된 결과에 맞춰 다시 점검하세요.
공식 자료와 확인일
KDE Kleopatra 제품·공식 실행 화면·릴리스 · Flathub Kleopatra 무료 Linux 배포 · KDE Kleopatra 파일·인증서 메뉴 설명서 · KDE Kleopatra 인증서 기능 설명서 · GnuPG 분리 서명과 지문 설명서 | 2026-11-07T22:41:22.738433+00:00
