패키지 매니저에는 무결성 문제가 있습니다
Trail of Bits가 소스 코드 의존성을 관리하는 패키지 매니저 25종을 시험한 결과, 기본 설정으로 내려받은 패키지의 무결성을 모두 확인한 도구는 두 종뿐이었습니다. 글은 lockfile 해시와 서명 검증의 한계를 비교하고, 개발자 신원 확인과 투명성 로그를 결합하는 방안을 제안합니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
선제적 방어: 코드 파이프라인과 CI/CD 인프라 강화
Mandiant가 개발자 단말부터 저장소, 아티팩트, CI/CD, 배포 환경까지 소프트웨어 개발 수명주기 전반의 공급망 보안 수칙을 정리했습니다. 짧은 수명의 최소 권한 인증, 불변 다이제스트 검증, 격리된 빌드와 지속적인 서명·취약점 검사를 강조합니다.