ElectroNG is now open source. ElectronJS Security Scanner.
Electron 보안 스캐너 ElectroNG, 오픈소스로 공개
Doyensec가 Electron 애플리케이션용 보안 스캐너 ElectroNG와 분석 엔진을 Apache 2.0 라이선스로 공개했습니다. 약 60개 검사 항목과 Electron 취약점 데이터베이스를 제공하지만, 최근 Electron 버전에서는 탐지 누락이나 오탐이 생길 수 있다고 밝혔습니다.
- 주제
에디터 노트
공개로 바뀐 점보다 현재 탐지 범위가 오래됐다는 점이 도구를 평가할 때 먼저 걸립니다. Doyensec은 마지막 대규모 개발이 2024년이었고 최신 Electron 앱에서 결과가 불완전하거나 오탐이 많을 수 있다고 직접 밝혔습니다. 따라서 약 60개 검사와 650개 이상의 취약점 데이터베이스는 공개된 기능의 규모를 보여주지만 최신 버전의 보안 검사를 보장하지는 않습니다. 상업용 라이선스 판매를 중단한 뒤 코드와 데스크톱 앱을 Apache 2.0으로 공개해 누구나 포크하고 상업적으로 사용할 수 있게 했습니다. 다만 이번 공개만으로 유지보수나 탐지 정확도가 개선된 것은 아닙니다. Doyensec이 제시한 검사 갱신과 오탐 감소, 회귀 테스트가 실제 기여로 이어져야 ElectroNG가 최신 Electron 앱에서도 쓸 만한 스캐너가 됩니다. Reddit의 유일한 댓글은 링크를 제출했다는 내용뿐이라 도구에 대한 검증이나 사용 경험은 확인되지 않습니다.
AI 요약
Doyensec가 상용으로 판매하던 Electron 보안 스캐너 ElectroNG의 데스크톱 앱과 분석 엔진을 Apache 2.0 라이선스로 공개했습니다. 두 저장소 모두 상업적 용도를 포함해 무료로 쓸 수 있으며 라이선스 키나 사용량 제한은 없습니다. 회사는 고객 기반을 충분히 확보하지 못해 2025년 6월 라이선스 판매를 중단했고, 프로젝트를 커뮤니티가 이어갈 수 있도록 소스 코드를 공개했다고 설명합니다.
ElectroNG가 제공하는 기능
Electronegativity가 명령줄 기반으로 Electron 설정과 보안 안티패턴을 검사한다면, ElectroNG는 프로젝트 관리와 결과 검토를 위한 데스크톱 인터페이스를 제공합니다. HTML, JavaScript, TypeScript 분석을 개선하고 약 60개 검사 항목을 포함합니다. Electron 버전을 고려한 검사와 650개 이상의 알려진 Electron 취약점 데이터베이스도 제공하며, BrowserWindow와 BrowserView의 보안 설정을 목록으로 보여줍니다. 결과를 앱 안에서 검토하고 오탐 표시, 심각도 조정, 메모를 남길 수 있으며 PDF, HTML, XLSX, CSV, SARIF 형식으로 보고서를 내보냅니다.
macOS와 Windows용 빌드를 내려받아 별도 설정 없이 검사를 시작할 수 있습니다. 자동 업데이트는 기본적으로 꺼져 있으며, 사용자가 앱 메뉴에서 선택해야 업데이트를 확인하거나 내려받습니다. ElectroNG-core는 라이브러리로도 쓸 수 있지만 API는 데스크톱 앱의 요구에 맞춰 설계됐습니다.
유지보수와 기여 과제
Doyensec은 마지막 대규모 개발이 2024년에 이뤄졌고 이후에는 소규모 버그 수정만 진행했다고 밝혔습니다. 최신 Electron 애플리케이션에서는 탐지 기능을 업데이트해야 하며 결과가 불완전하거나 오탐이 많을 수 있다고 설명합니다. 현재 API와 보안 기본값에 맞춰 검사 항목을 갱신하고, 탐지와 파서, 의존성, 빌드 과정을 개선하며 회귀 테스트를 추가하는 작업을 제안합니다. 새 검사와 스캔 로직은 ElectroNG-core에, 데스크톱 인터페이스 변경은 ElectroNG에 기여하면 됩니다. Electronegativity 저장소는 보관 처리됐습니다.
Reddit 반응
- @nibblesec — ElectroNG가 이제 무료 오픈소스가 됐습니다. /u/nibblesec이 제출했습니다 [링크] [댓글].
원문: Doyensec 블로그 / 번역·요약: Trawling