피드로 돌아가기
InfoQSecurity
원문 읽기
신뢰 기반 공급망에서 Verification 중심 보안 아키텍처로의 전환
Leading Open Source Author Calls for Verification over Trust in Software Supply Chains
AI 요약
Context
유명 오픈소스 컴포넌트에 대한 맹목적 신뢰가 XZ Utils 사례와 같은 공급망 공격의 취약점으로 작용함. 수십억 대 기기에 배포되는 curl과 같은 대규모 프로젝트에서 Maintainer 계정 탈취나 악의적 기여자로 인한 코드 오염 가능성이 증가한 상황임.
Technical Solution
- Git Repository를 유일한 Source of Truth로 정의하여 감사 가능성 확보
- C 언어의 위험 함수 사용 금지 및 함수 복잡도 상한 설정을 통한 코드 수준의 정적 제어
- Binary Blob 및 Base64 인코딩 콘텐츠 금지를 통한 악성 페이로드 은닉 차단
- 200개 이상의 CI Job과 OSS-Fuzz를 활용한 지속적 Fuzzing으로 비정상 동작의 가시성 확보
- Signed Release Artifacts 제공을 통한 배포물과 소스 코드 간의 Chain of Custody 검증
- CI Job의 Read-only 권한 설정 및 zizmor 도구 적용으로 Pipeline 구성 보안 강화
실천 포인트
1. Dependency를 최신 버전이 아닌 특정 Commit Hash로 Pinning하여 예기치 못한 변경 방지
2. SBOM(Software Bill of Materials) 도입 및 Pipeline 내 자동 서명 프로세스 구축
3. CI/CD 환경에서 Third-party Action의 권한을 최소화하고 Read-only 설정 검토
4. 단순 배포판 다운로드가 아닌, 서명 검증(Signature Verification) 절차를 배포 파이프라인에 통합