보안 / 애플리케이션

또다시 제기되는 오픈소스 보안 이슈

Ellen Messmer | Network World 2013.03.15
 
오픈소스 수명주기 관리 소프트웨어를 통해 벤더와 기업들이 그들의 내부 기업 정책과 관련 지어 법률적 상태와 오픈소스 라이브러리 사용 실태를 추적할 수 있도록 지원하는 화이트소스 소프트웨어(WhiteSource Software)의 CEO 라미 사스는 “결함 있는 오픈소스 코드를 다운로드하는 것은 법률적인 문제를 야기할 수 있다”라고 지적한다.
 
사스는 “화이트하우스는 보안을 순수한 기술적 측면에서 고민하기보다는 오픈소스 라이브러리와 법률적 이슈들을 추적하는데 더 집중하는 업체다. 그러나 이런 내가 보기에도 오픈소스가 가지고 있는 취약성은 위험한 수준이다. 해커들은 언제라도 취약성을 파고들어 기업들의 내부에 침투할 수 있다. 또 오늘날 기업들에게 오픈소스 라이브러리를 이용해 상용 소프트웨어를 개발하고 판매하는 것은 일반적인 일이 되었다. 그런데 이들 라이브러리 중 많은 것들은 이미 시대에 뒤쳐진 것이다. 그러나 이에 대한 관리는 제대로 이뤄지지 않고 있는 것이 현실이다”라고 말했다.
 
그는 가장 일반적인 문제는 기업들이 자신들이 사용하는 오픈소스 코드를 추적하지 못하는데 있다고 덧붙였다. 그러나 최근에는 기업들이 IT업체에게 오픈소스 사용 현황을 공개하도록 요구하는 경우도 늘어나고 있다. 사스는 “일례로 은행이나 보험사들은 이미 벤더와의 계약 과정에서 그들이 이용한 모든 오픈소스 리스트들을 공개하고 이것들의 안정성을 보장할 것을 요구하는 조항을 삽입하고 있다”라고 설명했다.
 
IO액티브의 버그도 자사의 고객들에게서도 오픈소스 소프트웨어의 보안에 관한 물음들이 제기되는 경향이 확산되고 있다고 설명한다.
 
그는 “난 우리의 고객들에게 정기적인 검토 과정을 거칠 것을, 그리고 새로운 외부(무료 혹은 오픈소스) 컴포넌트를 도입하기 전에는 반드시 ‘코드의 품질은 어떤가?’, ‘이들 프로젝트는 버그 수정이나 보안 이슈들에 신속히 대응하고 있는가?’, ‘보안 지원 기관은 구성되어 있는가?’ 등의 의문들을 제기해 봄으로써 해당 컴포넌트를 포괄적으로 분석해볼 것을 조언한다”라고 말했다.
 
그는 이어서 “기업들은 특정 상황에 대한 해석과 컴포넌트의 라이선스에 기반해 오픈소스 코드 사용이 소프트웨어 이용과 개별 포크(fork)의 내부적 관리 문제 해결에 도움을 줄 수 있을지 예측해 볼 수 있을 것이다. 이는 기업들에게 상부 패키지 저자에게 보안 이슈를 공개할 것을 요청할 필요를 없애주는 효용을 제공하는 것으로, 어떤 관점에서는 기업들에게 ‘좀더 나은' 방법이 될 수 있을 것이다”라고 덧붙였다.
 
그러나 이는 오픈소스를 이용하는 기업들이 커뮤니티에 보고하는 과정이 제대로 이뤄질 수 없도록 한다는 점에서 기업과 오픈소스 커뮤니티 모두에 ‘좋지 않은' 영향을 미칠 수도 있을 것이다.
 
IO액티브의 버그는 “상품 제작에 무료/오픈소스 코드를 이용하는 것은 여러 리스크와 과제를 가져올 수 있다. 일례로 외부의 보안 이슈를 지속적으로 추적하고 그것을 기업이 이용하는 라이브러리의 버전으로 복제해오는 것을 떠올려볼 수 있을 것이다. 또 라이브러리가 너무 먼 곳까지 이전하게 된다면, 그것으로 또 다른 과제가 야기될 수 있을 것이다. 무료/오픈소스 커뮤니티를 받아들이는 과정의 핵심은, 그들과 ‘가깝고 투명하게' 관계를 구성하는데 있다”라고 강조했다. ciokr@idg.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.