[주간 OSS 동향 리포트] 갈수록 어려워지는 오픈소스 보안, 구글 전문가들의 의견을 듣다

2021.06.09.

Open UP에서는 지난 한 주의 국내외 공개SW 관련 동향을 모아 정리합니다.

자세한 기사 내용은 아래 기사 내용 중 굵게 표시된 제목을 클릭하시면 보실 수 있습니다.

소프트웨어 및 프로그램 개발에서 오픈소스 라이브러리 및 오픈소스 요소 의존도가 대폭 증가하고, 오픈소스 요소의 어플리케이션 내 비중 또한 높아지면서, 구글이 오픈소스 보안 문제에 대응하기 위해 사내 전문가를 초빙하여 토론회를 진행했습니다.

구글 엔지니어 댄 로렌크는 현장에서 개발팀이 어떤 오픈소스 요소를 사용하는지에 대해 인식하지 못하는 상황을 지적하였고, 디펜던시가 추가될 때마다 오픈소스 관련 현황에 대해 파악하고 지속적인 감사를 통한 통제를 주문하였습니다. 또한, 오픈소스의 버그 등 보안 문제를 방치하는 것이 무책임한 것이라고 밝혔으며, 해킹 공격을 허용하는 취약점은 제로데이보다는 보안 담당자의 시선 바깥에 있는 흔하고 잘 알려진 취약점이라고 지적하였습니다.

한편, 프로그램 관리자 앤 버투시오는 깃허브에 업로드된 코드를 무조건 안전하다고 여기는 개발자들의 풍조를 지적하고, 사용하는 코드를 살펴 오류를 찾아내는 업스트림(Upstream) 방식의 버그 해결법이 좋은 해결책이 된다고 밝혔습니다. 또한, 오픈소스 프로젝트 관리자들을 위한 취약점 확인 과정의 표준화와 함께, 취약점 해결 방식의 간소화, 제보자의 적극적인 보안 문제 해결과정 참여 유도를 주문했습니다. 이와 함께, 오픈소스 프로젝트의 신뢰도 향상과 효과적인 보안문제 대처를 위하여 상세한 취약점 내용 공개를 당부했습니다.

(자세한 기사 더보기)

□ 스마트홈 상호호환성 문제 사라지나…새 표준 ‘매터’ 주목 (정보통신신문)

CSA(Connectivity Standards Alliance)는 스마트홈 시장에서 상호호환성 문제를 해결하기 위해, 스마트홈 기기와 시스템에 대한 새로운 오픈소스 표준인 매터(Matter)를 발표하였고, 현재 테스트 단계에 있다고 밝혔다. 매터에서는 매터 브리지(Matter Bridge)로 인해 네트워크 도메인이 통합되었고, 저전력 블루투스로 복잡한 연동 절차 또한 생략되었다. 또한, 다중 관리자 기능을 통해 최종 사용자의 복잡한 작업 없이도 다양한 제품이 동작할 수 있으며, CSA 측에서도 설정을 더욱 간소화할 계획이라고 밝혔다.

□ 깃허브 "위험한 소스코드는 임의 삭제 가능" (ZDNet Korea)

깃허브(Github)는 지난 3월 자사 플랫폼에 업로드된 프록시로그온(ProxyLogon) 취약점 개념증명 코드가 사이버공격에 사용된 사건으로 인해, 해당 코드를 삭제한 후 보안커뮤니티 피드백을 거쳐 보안위협을 초래할 우려가 있는 소스코드의 저장소 지원을 중단할 수 있다는 운영지침을 새롭게 추가하였다. 깃허브 측은 상기한 조치가 연구편익과 생태계 안전의 균형을 유지하는 것이라 설명했으며, 연구 및 정보공유 목적으로 코드가 업로드된 경우엔 제재하지 않겠다고 밝혔다.

□ LG전자, 오픈소스 포스라이트 누구나 ‘사용가능’…라이센스 준수여부 등 검증완료 (라이센스뉴스)

LG전자가 자체개발 오픈소스 소프트웨어 관리도구인 포스라이트(FOSSLight)를 자사 홈페이지를 통해 공개하였다. 개발자들은 포스라이트를 통해 오픈소스 사용, 의무사항 준수여부를 검증할 수 있으며, 오픈소스 활용 과정에서의 보안 취약점을 파악할 수 있다. LG전자의 이번 포스라이트 출시는 2007년부터 이어진 오픈소스 표준 준수의 연장선상에 있으며, 사측은 이번 포스라이트 공개가 외부 개발자의 피드백을 통해 소프트웨어 안정성, 기능 강화에 도움이 될 것이라고 전망했다.

- Open UP -