브루노 유르코비치, npm·PyPI 신버전 설치 7일 늦춘 프록시 운영 사례 공개
개발자 브루노 유르코비치가 개인 블로그에서 git-pkgs/proxy를 이용한 회사 운영 경험을 소개했습니다. npm·PyPI 신버전은 게시 후 7일, pub는 3일 대기합니다. 공개한 집계에서는 잠금 파일이 대기 중인 버전을 지정한 다운로드 요청 71건이 거절됐습니다.
최신기사
AI, 개발 도구, 오픈소스, 보안과 인프라의 변화와 이용 조건을 설명하는 최신 기사와 해설입니다.
의존성 설치의 신뢰는 어디서 깨지나: 이름, 패키지 매니저, 바이너리
AI가 제안한 패키지 이름이 실제로 존재하는지, 패키지 매니저가 내려받은 파일의 변경을 막는지, 배포된 바이너리가 소스와 일치하는지는 서로 다른 검증 문제입니다. 세 자료를 비교하면 한 단계의 확인만으로는 다음 단계의 위험까지 해결할 수 없으며, 각 경계에서 무엇을 확인하는지가 달라집니다.
패키지 매니저에는 무결성 문제가 있습니다
Trail of Bits가 소스 코드 의존성을 관리하는 패키지 매니저 25종을 시험한 결과, 기본 설정으로 내려받은 패키지의 무결성을 모두 확인한 도구는 두 종뿐이었습니다. 글은 lockfile 해시와 서명 검증의 한계를 비교하고, 개발자 신원 확인과 투명성 로그를 결합하는 방안을 제안합니다.
선제적 방어: 코드 파이프라인과 CI/CD 인프라 강화
Mandiant가 개발자 단말부터 저장소, 아티팩트, CI/CD, 배포 환경까지 소프트웨어 개발 수명주기 전반의 공급망 보안 수칙을 정리했습니다. 짧은 수명의 최소 권한 인증, 불변 다이제스트 검증, 격리된 빌드와 지속적인 서명·취약점 검사를 강조합니다.