구글 Project Zero, 취약점 공개 시한 90일서 30일로 단계 단축

구글 Project Zero는 취약점을 업체에 보고한 날부터 일정 기간 뒤 공개하는 ‘Full X’ 정책을 도입했습니다. 기존 ‘90+30’ 정책은 업체에 최대 90일 동안 수정할 시간을 주고, 패치를 이용자에게 배포하도록 30일을 더 뒀습니다. 새 정책은 보고일부터 공개까지 한 시한으로 계산합니다. Full 90으로 시작해 2027년 2월 2일부터 Full 60, 2028년 1월 3일부터 Full 30으로 바뀝니다.

Project Zero는 공격자가 취약점을 찾아내고 악용하는 속도가 빨라졌다고 설명합니다. AI를 활용한 취약점 발견과 악용이 빨라져 악의적 행위자를 포함한 여러 주체가 같은 결함을 찾을 가능성이 커졌고, 패치를 분석해 수정 내용을 파악하고 공격하는 시간도 짧아졌다는 판단입니다. 이에 따라 패치 배포 시간을 주려고 공개를 늦춰도 취약점의 세부 내용을 비밀로 유지하는 효과가 줄었다고 봅니다.

보고 건수가 늘어난 점도 정책 변경의 배경입니다. Project Zero는 이전에 해마다 몇 건 발견하던 대상에서 지금은 주마다 여러 취약점을 찾는다고 밝혔습니다. 수정 완료 여부나 유예 적용을 업체와 건별로 협의하는 절차도 관리하기 어려워졌다는 설명입니다. 새 정책에서는 수정 여부가 공개 시한을 바꾸지 않습니다. Project Zero는 취약점이 수정됐는지 계속 추적하고 미수정 사실도 업체에 알리지만, 수정 여부를 시한 결정의 조건으로 삼지 않겠다고 밝혔습니다. 정해진 시한은 Project Zero와 업체가 정책을 자동화하기 쉽게 하려는 목표에도 맞닿아 있습니다.

취약점 수정본이 공개된 뒤 이용자가 업데이트를 설치하기까지 걸리는 기간을 Project Zero는 ‘패치 격차’라고 부릅니다. 공개를 늦추는 것만으로 이 기간이 줄지는 않습니다. Project Zero는 업체가 패치 배포를 앞당기거나 수정이 진행되는 동안 다른 보호책을 마련해 이용자를 보호해야 한다고 설명합니다. 새 정책은 취약점 수정 속도뿐 아니라 수정본을 사용자에게 전달하는 시간도 줄이려는 데 목적을 둡니다.

Project Zero는 취약점을 가장 많이 보고하는 업체들에 의견을 물은 뒤 공개 시한을 단계적으로 줄이기로 했습니다. 업체들은 즉시 기한을 바꾸면 아직 수정하지 못한 취약점이 공격자에게 공개돼 이용자가 위험해질 수 있다고 우려했습니다. 새 기한에 걸린 취약점을 다른 취약점보다 심각도가 낮아도 먼저 처리하거나, 기한을 맞출 수 없다고 판단한 업체가 수정을 시도하지 않을 수 있다는 의견도 냈습니다. Project Zero는 업체들이 수정 절차와 기반 시설을 개선할 시간을 주면서도 기한을 점차 줄이는 일정을 택했습니다.

공개 시한은 취약점 심각도에 따라 달라지지 않습니다. Project Zero는 심각도가 공격자의 발견 가능성보다 이용자에게 미칠 영향과 관련한다고 설명합니다. 추적기에 올리는 취약점은 상당한 심각도와 입증된 보안 영향을 갖춰야 합니다. 보고 내용도 재현 가능하고 설명이 분명하며 취약점에 실제로 도달할 수 있어야 한다고 밝혔습니다. 품질이 낮은 버그 보고는 업체가 다르게 처리할 수 있습니다.

일반적인 예외는 세 가지입니다. 실제 공격에 악용 중인 취약점은 Google의 애플리케이션 보안 취약점 공개 정책에 따라 처리합니다. 다른 주체가 이미 공개한 취약점은 Project Zero가 재량으로 세부 내용을 공개할 수 있고, 보고받은 업체가 요청하면 공개합니다. Spectre와 Meltdown 같은 하드웨어 취약점에는 드물게 예외를 인정해 왔으며 앞으로도 예외를 둘 수 있다고 밝혔습니다. 기존 정책의 유예 기간과 변종 취약점에 관한 별도 규칙은 새 정책에서 대부분 사라집니다.