국방부 조달을 위한 오픈 소스 소프트웨어(OSS) 투명성

Core Concepts

오픈 소스 소프트웨어(OSS)를 사용하는 소비자는 OSS 프로젝트의 실행 관행과 프로세스에 대한 투명성이 필요하며, 이를 통해 소프트웨어 무결성과 공급망 위험 분석에 적합한 데이터와 정보에 접근할 수 있어야 한다.

Abstract

이 논문은 오픈 소스 소프트웨어(OSS)의 투명성 문제를 다룹니다. OSS는 실제로 안전하지 않으며, OSS 구성 요소가 안전한지 여부는 사용자의 관점에 달려 있습니다. OSS 소비자는 OSS 프로젝트의 실행 관행과 프로세스에 대한 투명성이 필요합니다. 이를 통해 소프트웨어 무결성과 공급망 위험 분석에 적합한 데이터와 정보에 접근할 수 있습니다.
현재 OSS 보안 및 공급망 위험 관리를 위한 도구와 표준이 등장하고 있지만, 이러한 도구는 OSS 소비자의 관행과 프로세스에 적합하지 않을 수 있습니다. 따라서 OSS 생태계와 소프트웨어 산업 전반에 걸쳐 새로운 도구, 정책 및 방법론이 필요합니다. 이를 통해 기존 코드베이스에 대한 더 큰 신뢰를 구축하고 새로운 기술, 제품 및 공급업체에 대한 평가와 대응이 가능할 것입니다.

Stats

최고 수준의 코드에도 최대 600개의 결함이 있을 수 있으며, 평균 품질의 코드에는 약 6,000개의 결함이 있을 수 있습니다.
최고 수준의 코드에는 최대 30개의 보안 취약점이 있을 수 있으며, 평균 품질의 코드에는 최대 300개의 보안 취약점이 있을 수 있습니다.
2023년 MOVEit 취약점으로 인한 피해 비용은 약 99억 달러 이상이며, 7건의 주요 공급망 공격으로 인한 추정 비용은 약 600억 달러입니다.

Quotes

"안전한 기술 제품은 학술적 관심사가 아니라 직접적으로 중요 인프라, 중소기업, 지역 사회 및 미국 가정에 해를 끼치고 있습니다."
"OSS 소비자는 OSS 프로젝트, 그 기여자 및 관리자, 그리고 그들이 따르는 프로세스에 대한 통찰력을 얻기 위해 투명성이 필요합니다."

Key Insights Distilled From

Open Source Software (OSS) Transparency for DoD Acquisition

by Nancy Mead,C... at arxiv.org 04-26-2024

https://arxiv.org/pdf/2404.16737.pdf

Deeper Inquiries

OSS 개발자들은 보안 목표를 지원하는 언어(예: RUST)를 사용하거나 기본 설정을 보다 안전하게 하는 데 관심이 있을까요?

일반적으로, OSS 개발자들은 보안에 대한 관심이 매우 높습니다. 특히 최근에는 보안 취약점이 증가하고 있기 때문에 안전한 프로그래밍 언어인 RUST와 같은 도구에 대한 관심이 더욱 높아지고 있습니다. RUST는 메모리 안전성과 안정성을 강조하는 언어로, 많은 OSS 개발자들이 이를 사용하여 보다 안전한 소프트웨어를 개발하려는 노력을 기울이고 있습니다. 또한, 기본 설정을 보다 안전하게 하는 것에 대한 관심도 높아지고 있으며, 이는 보안에 대한 인식이 높아지고 있기 때문입니다.

OSS 공급업체와 사용자 간의 계약이 없는 경우, 사용자가 성능 측정 기준을 정의하고 충족 여부를 결정할 수 있을까요?

OSS 공급업체와 사용자 간의 계약이 없는 경우, 사용자는 성능 측정 기준을 스스로 정의하고 충족 여부를 결정할 수 있습니다. 이를 위해서는 사용자가 원하는 보안 수준, 기능 요구사항, 성능 기준 등을 명확히 정의하고 이를 기반으로 소프트웨어를 평가할 수 있어야 합니다. 또한, 사용자는 소프트웨어의 품질과 보안을 평가하기 위해 다양한 도구와 방법을 활용할 수 있으며, 이를 통해 소프트웨어의 성능을 측정하고 충족 여부를 결정할 수 있습니다.

OSS 보안을 위한 선행 지표를 얻기 위해 개발 프로세스의 투명성을 높이는 것 외에 어떤 방법이 있을까요?

OSS 보안을 위한 선행 지표를 얻기 위해 개발 프로세스의 투명성을 높이는 것 외에도 다양한 방법이 있습니다. 예를 들어, 보안 취약점을 식별하고 해결하기 위해 정기적인 보안 검토 및 페네트레이션 테스트를 수행할 수 있습니다. 또한, 보안 인증 및 인증 프로세스를 도입하여 소프트웨어의 보안 수준을 확인할 수 있습니다. 또한, 보안 관련 교육 및 교육 프로그램을 통해 개발자와 사용자에게 보안에 대한 인식을 높일 수 있습니다. 이러한 다양한 방법을 통해 OSS 보안을 강화하고 선행 지표를 얻을 수 있습니다.