[º¸¾È´º½º ¹®Á¤ÈÄ ±âÀÚ] ¹Ì±¹ ´ëÅë·É ÇàÁ¤¸í·É 14028 ÀÌÈÄ À̸¥ ¹Ù ¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥(SBOM)¶ó´Â Á¦µµ¸¦ ¸¸µé±â À§ÇÑ ¿òÁ÷ÀÓÀÌ ºÐÁÖÇØÁ³´Ù. ¸¹Àº »ç¶÷µéÀÌ SBOMÀ̶ó´Â °³³ä¿¡ ´ëÇØ ÀÌÇØÇϱ⠽ÃÀÛÇß°í, ±×·¯¸é¼ ¡®À̰͸¸ ¿ÂÀüÇÏ°Ô Á¤ÂøÇصµ ¼ÒÇÁÆ®¿þ¾î °ø±Þ¸Á °ø°ÝÀ» ¹«·ÂÈÇÒ ¼ö ÀÖ°Ú´Ù¡¯´Â ±â´ë°¨µéÀÌ »ý°Ü³ª°í ÀÖ´Ù. °³³äÀÇ Ãø¸é¿¡¼ º¸¸é Ʋ¸° ¸»ÀÌ ¾Æ´Ï´Ù. ¼ÒÇÁÆ®¿þ¾îÀÇ ±¸¼º ¿ä¼Ò°¡ ¹«¾ùÀÎÁö È®ÀÎÇÒ ¼ö ÀÖ°í, ±×·¯¸é¼ ¾ÈÀüÇÑ °Íµé¸¸ À¯Åë½ÃŲ´Ù¸é ´õ ÀÌ»ó À§ÇèÀº ¾øÀ» Å״ϱî. ÇÏÁö¸¸ Á¤¸» ±×·²±î?
[À̹ÌÁö = utoimage]
¼ÒÇÁÆ®¿þ¾î ¹°ÀÚ °ø±Þ¸Á ÀÌÇØÇϱâ
¼ÒÇÁÆ®¿þ¾î ¹°ÀÚÇ¥´Â º¸Åë ½Ä·áÇ° Æ÷ÀåÁö¿¡ ºÎÂøµÇ¾î ÀÖ´Â Àç·áÇ¥¿Í ºñ±³µÈ´Ù. Áö±Ý ¼Õ¿¡ µé°í ÀÖ´Â »óÇ°ÀÌ ¾î¶² °Íµé·Î ±¸¼ºµÇ¾î ÀÖ´ÂÁö ÇÑ ´«¿¡ º¸¿©ÁÖ´Â ÀåÄ¡´Ù. ¼ÒÇÁÆ®¿þ¾î »óÇ°À» »ì ¶§µµ ¡®´ç½ÅÀÇ ¼Õ¿¡ µé·Á ÀÖ´Â °ÍÀº ÀÌ·± Àú·± ¿ä¼Òµé·Î ¸¸µé¾îÁ® ÀÖ´Ù¡¯´Â °É ¾Ë°Ô ÇØ ÁÖ°Ú´Ù´Â °Ô SBOM(¡®¿¡½º¹ã¡¯À̶ó°í Àб⵵ ÇÑ´Ù)ÀÇ ¸ñÀûÀÌ´Ù. ¾ÆÁ÷ ÀÌ SBOMÀ̶ó´Â °ÍÀÇ Ç¥ÁØÀÌ Á¤ÇØÁöÁö´Â ¾Ê¾Ò´Âµ¥, Èĺ¸·Î¼ °Å·ÐµÇ´Â °¡À̵å¶óÀÎ Á¤µµ´Â ¸¸µé¾îÁ® ÀÖ´Â »óÅ´Ù. 1¼øÀ§ È帴 ¡®¼ÒÇÁÆ®¿þ¾î µ¥ÀÌÅÍ ÆÐÅ°Áö ÀͽºÃ¼ÀÎÁö(Software Data Package Exchange, SPDX)¡¯¶ó°í Çϸç, ¸®´ª½ºÀç´ÜÀÌ °·ÂÇÏ°Ô ÁöÁöÇÏ°í ÀÖ´Ù.
SPDX´Â ´Ù¸¥ SBOM °¡À̵å¶óÀεé°ú ºñ½ÁÇÏ°Ô ¼ÒÇÁÆ®¿þ¾î ±¸¼º ¿ä¼ÒµéÀÇ ±âº»ÀûÀÎ Á¤º¸¸¦ Á¦½ÃÇÏ´Â °ÍÀ» ¸ñÀûÀ¸·Î ÇÑ´Ù. °¢ ¿ä¼ÒÀÇ À̸§, ¹öÀü, ÇؽÃ, »ýÅ°è, °¢Á¾ ºÎ¼öÀû Á¤º¸(°ø°³µÈ ¿À·ù, ¶óÀ̼±½º µî), °ü·Ã¼º ³ôÀº ¿ÜºÎ ÀÚ»ê µîÀÌ SPDX¸¦ ÅëÇØ °ø°³µÈ´Ù. ÇÏÁö¸¸ ¿ì¸®´Â ±â¾ïÇØ¾ß ÇÒ °Ô ÀÖ´Ù. ½Ã¸®¾ó »óÀÚ Çϳª¿Í ¼ÒÇÁÆ®¿þ¾î Çϳª´Â Àý´ë °°Áö ¾Ê´Ù´Â °ÍÀ» ¸»ÀÌ´Ù. ¼ÒÇÁÆ®¿þ¾î´Â ½Ä·áÇ°°ú´Â ºñ±³µµ ÇÒ ¼ö ¾øÀ» Á¤µµ·Î º¹ÀâÇÑ »óÇ°ÀÌ´Ù. ¶ÇÇÑ ½Ä¾àû°ú °°ÀÌ ÃÖ¼ÒÇÑÀÇ ¾ÈÀüÇÑ Àç·á¸¦ °Á¦ÇÒ ±â°üµµ ¼ÒÇÁÆ®¿þ¾î »ýÅ°迡´Â ¾ÆÁ÷ Á¸ÀçÇÏÁö ¾Ê´Â´Ù´Â °Íµµ µÎ »óÇ°ÀÇ Áß¿äÇÑ Â÷ÀÌ´Ù.
¸ðµç °ÍÀÌ ¾ÆÁ÷Àº ¼±Åà »çÇ×
SPDX°¡ Ç¥ÁØ SBOMÀ¸·Î¼ »ê¾÷ ³»¿¡ ¹Þ¾Æµé¿©Áø´Ù°í ÇßÀ» ¶§ °¡Àå ¹®Á¦°¡ µÇ´Â Á¡Àº ±×°ÍÀÌ ÀϹÝÀûÀÎ ±Ç°í »çÇ×µéÀ» ¸ð¾ÆµÐ °¡À̵å¶óÀÎÀ̶ó´Â °ÍÀÌ´Ù. ±ÇÀ§°¡ ÀÖ´Â Àü¹®°¡ Áý´ÜÀ̳ª ±â°üÀÇ Ã¶ÀúÇÑ °ËÁõ ¾Æ·¡ ¸¶·ÃµÈ Ç¥ÁØÀÌ ¾Æ´Ï´Ù. »ç½Ç»ó SBOMÀº ¿ÀǼҽº ¼ÒÇÁÆ®¿þ¾îµé¿¡ Àû¿ëµÇµµ·Ï ¸¸µé¾îÁø °ÍÀε¥, ¿ÀǼҽº¶ó´Â °ÍÀº ¾î¶² ÇÑ ±¹°¡¿¡¼ ÁÖµµÀûÀ¸·Î »ý»êÇس»´Â °ÍÀÌ ¾Æ´Ï´Ù. Àü ¼¼°è ¿©±â Àú±â¿¡¼ È°µ¿ÇÏ´Â °³¹ßÀÚµé°ú ´ÜüµéÀÌ ¿ÀǼҽº¸¦ ¸¸µé°í ¹èÆ÷ÇÏ°í °ü¸®Çϴµ¥, ±×·¸±â ¶§¹®¿¡ ±× ¾î¶² ±â°üµµ SBOM¿¡ ´ëÇÑ °Á¦¼ºÀ» ºÎ¿©ÇÒ ¼ö ¾ø´Ù. Ç¥ÁØÀ̶ó´Â °Ô ÀÖ´Ù ÇÏ´õ¶óµµ ¿ÀǼҽº »ýÅ°è Àü¹Ý¿¡ ¹Þ¾Æµé¿©Áú °¡´É¼ºÀº Èñ¹ÚÇÏ°í, ÇöÀçÀÇ SPDXó·³ °¡À̵å¶óÀÎ Á¤µµ¿¡ ±×Ä¥ »ÓÀÌ´Ù.
¹«½¼ ¶æÀΰ¡? ¾Æ¹«¸® ²Ä²ÄÇÏ°í ¿Ïº®ÇÑ SBOM ½ÃÇà ¹æ¹ýÀÌ SPDX¿¡ ÀÇÇØ Á¦½ÃµÈ´Ù ÇÏ´õ¶óµµ °á±¹ ÇϳªÀÇ ¡®¿É¼Ç¡¯À¸·Î ³¡³´Ù´Â °ÍÀÌ´Ù. ±×·¸´Ù´Â °Ç Áöų »ç¶÷Àº ÁöÅ°°í ÁöÅ°Áö ¾ÊÀ» »ç¶÷Àº ÁöÅ°Áö ¾Ê´Â´Ù´Â °ÍÀÌ°í, ÁöÅ°´õ¶óµµ ´©±¸´Â À̸§¸¸ °ø°³ÇÏ°í, ´©±¸´Â Á¶±Ý ´Ù¸¥ Çü½ÄÀ» È°¿ëÇÏ°í, ´©±¸´Â Ãë¾àÁ¡ Á¤º¸¸¦ Çϳªµµ °ø°³ÇÏÁö ¾Ê´Â µî ÀÏ°ü¼ºÀ̶ó´Â °Ô ¾ø¾îÁø´Ù´Â ¶æÀÌ µÈ´Ù. ÀÌ·¸°Ô Áß±¸³¹æÀΠä À¯ÁöµÇ´Â SBOMÀº ±× ÀÚü·Î ½Å·ÚÇϱâ Èûµç Á¦µµ°¡ µÉ °ÍÀÌ°í, Á¸Àç °¡Ä¡°¡ Åð»öµÈ´Ù. SBOMÀº ±× ¹æ½Ä°ú ¸ñÀû ¶§¹®¿¡¶óµµ ¡®¿É¼Ç¡¯À̳ª ¡®°¡À̵å¶óÀΡ¯À¸·Î¼ÀÇ ÁöÀ§¸¸ °¡Áö°í¼´Â ÈûÀ» ¹ßÈÖÇÒ ¼ö ¾ø´Ù.
Ãâó±îÁö ¾Ë·ÁÁÖÁö´Â ¾Ê´Â´Ù
ÇöÀç Á¦½ÃµÇ°í ÀÖ´Â SBOMÀÇ Çüŵ鸸À¸·Î´Â ²À ÇÊ¿äÇÑ Á¤º¸°¡ Á¦´ë·Î ³ëÃâµÇÁö ¾Ê´Â´Ù´Â Á¡µµ ÁöÀûÇØ¾ß ÇÏ´Â ºÎºÐÀÌ´Ù. ƯÈ÷ ¹öÀü Á¤º¸¸¦ ³ªÅ¸³»´Â Ç׸ñµéÀÌ ¾ÆÁ÷ ÀûÀýÇÏÁö ¾Ê´Ù. SLSA¿Í °°Àº ÇÁ·¹ÀÓ¿öÅ©ÀÇ °æ¿ì, ±â¿ø ȤÀº Ãâó Á¤º¸¸¦ Ç¥½ÃÇÏ°í ÀÖ±ä ÇÏÁö¸¸ ÃæºÐÇÏ´Ù°í Çϱâ Èûµé´Ù. ¾ÆÁ÷ ±× ¾î¶² SBOM °¡À̵å¶óÀο¡¼µµ Ãâó¸¦ ¸íÈ®È÷ µå·¯³»Áö ¾Ê´Â´Ù. ÀÌ´Â ¸¶Ä¡ ½ÄÇ° Àç·áÇ¥¿¡¼ ¿ø»êÁö Ç¥½Ã¸¦ ÇÏÁö ¾Ê´Â °Í°ú ºñ½ÁÇÏ´Ù. Ãâó¸¦ ¾Ë¾Æ¾ß Áö±Ý ³»°¡ »ç¿ëÇÏ·Á°í ÇÏ´Â ¼ÒÇÁÆ®¿þ¾îÀÇ ³»ºÎ ±¸Á¶¿¡ ´ëÇØ º¸´Ù ±íÀÌ ÀÌÇØÇÒ ¼ö ÀÖ°Ô µÈ´Ù. ÃÖ¼ÒÇÑ ´ÙÀ½°ú °°Àº Á¤º¸µéÀÌ Æ÷ÇԵǾî ÀÖ¾î¾ß ÇÑ´Ù.
1) Á¦ÀÛÀÚ, À¯Áö º¸¼ö Ã¥ÀÓÀÚ, ¿ÀǼҽº ±â¿©ÀÚµéÀÇ ½Å¿ø Á¤º¸
2) °³¹ß¿¡ »ç¿ëµÈ µµ±¸ ¹× ¹èÆ÷ ÀÎÇÁ¶ó Á¤º¸
3) °¢Á¾ Á¦¾î, °ü¸® ¹× º¸È£ ÀåÄ¡¿Í ¹æ¹ýµé
4) ¾ÆƼÆÑÆ®ÀÇ ½ÇÁ¦ È°¿ë ¿©ºÎ¸¦ Áõ¸íÇØÁÙ ¸¸ÇÑ ÀÚ·á(½ÇÁ¦·Î ÄÄÆÄÀÏ µÈ ÆÐÅ°Áö µî)
°á±¹ È°¿ëÇÏ°íÀÚ ÇÏ´Â ¼ÒÇÁÆ®¿þ¾î ±¸¼º ¿ä¼Òµé¿¡ ´ëÇØ ¿ì¸®´Â ´õ È®½ÇÈ÷, ´õ ³¹³¹ÀÌ ¾Ë¾Æ¾ß ÇÑ´Ù´Â °ÍÀÌ´Ù. Áö±Ý Á¦¾ÈµÇ°í ÀÖ´Â SBOMµé·Î¼´Â ÃæºÐÄ¡ ¾Ê´Ù.
ƯÁ¤ ½ÃÁ¡¿¡ È®º¸µÈ Á¤º¸¸¸À¸·Î´Â ºÎÁ·ÇÏ´Ù
SBOMÀ» ±¤¹üÀ§ÇÏ°Ô Àû¿ëÇÑ´Ù°í ÇßÀ» ¶§ »ý±æ ¼ö ÀÖ´Â Çö½ÇÀû ¹®Á¦ Áß °¡Àå Å« °ÍÀº ¿ÀǼҽº ¼ÒÇÁÆ®¿þ¾î¶ó´Â °ÍÀÌ ½Ã°£¿¡ µû¶ó ²÷ÀÓ¾øÀÌ º¯ÇÏ´Â ¼ºÁúÀ» °¡Áö°í ÀÖ´Ù´Â °ÍÀÌ´Ù. Áö±Ý ¿ì¸®°¡ °¡Áö°í ÀÖ´Â °¡À̵å¶óÀεéÀº ƯÁ¤ ½ÃÁ¡ÀÇ ¼ÒÇÁÆ®¿þ¾î¿¡ ´ëÇÑ Á¤º¸µéÀ» Ç¥½ÃÇÏÁö, ÇØ´ç ¼ÒÇÁÆ®¿þ¾î°¡ ¾î¶² º¯Ãµ °úÁ¤À» °ÅÃÆ´ÂÁö¿¡ ´ëÇÑ Á¤º¸´Â ÀüÇô º¸¿©ÁÖÁö ¸øÇÏ°í ÀÖ´Ù. °ÅÁþÀ¸·Î ÀÛ¼ºµÈ Á¤º¸´Â ¾Æ´ÏÁö¸¸, ½Ã°£ÀÌ È帣¸é¼ ÀÚ¿¬½º·´°Ô ¿©·¯ ¼ÕÀ» °ÅÄ¡´Ù º¸¸é °ÅÁþÀÌ µÉ ¼ö ÀÖ´Ù´Â °ÍÀÌ´Ù. SBOMÀÌ ÀǵµµÈ °¡Ä¡¸¦ ±×´ë·Î º¸Á¸ÇÏ·Á¸é °á±¹¿¡´Â º¯È°¡ ÀϾ´Â ½ÃÁ¡¸¶´Ù Á¤º¸°¡ ¾÷µ¥ÀÌÆ® µÇ¾î¾ß ÇÏ°í, ÀÌ·± ±â·Ïµé¸¶Àú ²ÙÁØÈ÷ ´©ÀûµÇ¾î¾ß ÇÑ´Ù.
¶Ç »ý°¢ÇØ¾ß ÇÒ °ÍÀÌ ÀÖ´Ù. Á¤º¸ÀÇ ¾çÀÌ´Ù. ¿¹¸¦ µé¾î ´ç½ÅÀÌ º¥´õ·ÎºÎÅÍ Å¬¶ó¿ìµå ½ºÅ丮ÁöÀÇ SBOM Á¤º¸¸¦ ¹Þ¾Ò´Ù°í ÇÏÀÚ. ÀÌ ¹®°Ç¿¡´Â ¼öõ °³ÀÇ °³º° ¼ÒÇÁÆ®¿þ¾îµé¿¡ ´ëÇÑ Á¤º¸°¡ »©°îÇÏ°Ô µé¾îÀÖÀ» °ÍÀÌ´Ù. »Ó¸¸ ¾Æ´Ï¶ó ±× °³º° ¼ÒÇÁÆ®¿þ¾îµéÀÇ º¯Ãµ»ç(Áï °ú°Å ¹öÀüµé)¿¡ ´ëÇÑ Á¤º¸µéµµ Æ÷ÇԵǾî ÀÖÀ» °ÍÀÌ´Ù. ½ÉÁö¾î ¿ÀǼҽº ¼ÒÇÁÆ®¿þ¾î´Â ²ÙÁØÈ÷ º¯ÇϹǷÎ, ´ç½ÅÀÌ ¹æ±Ý ¹ÞÀº ±× ¹æ´ëÇÑ Á¤º¸´Â ÀÌ¹Ì °ú°ÅÀÇ Á¤º¸, Áï ÇöÀç »óȲÀ» Á¤È®È÷ ¹Ý¿µÇÏÁö ¸øÇÏ´Â Á¤º¸ÀÏ °¡´É¼ºÀÌ ³ô´Ù. Á¤º¸¸¦ ÃëÇÕÇÏ°í º¸°í¼ ÇüÅ·ΠÀÛ¼ºÇÏ´Â ½Ã°£ µ¿¾È ÀÌ¹Ì Çö ¹öÀüÀÌ °ú°ÅÀÇ ¹öÀüÀÌ µÈ °ÍÀÌ´Ù. ÃÖ±Ù ¼ÒÇÁÆ®¿þ¾îµéÀÌ ¾ó¸¶³ª ¸¹Àº ±¸¼º ¿ä¼Òµé·Î ¸¸µé¾îÁ³´ÂÁö¸¦ »ý°¢Çغ¸¸é ÀÌ°ÍÀÌ ÀüÇô °úÀåµÈ ¿¹½Ã°¡ ¾Æ´ÔÀ» ¾Ë ¼ö ÀÖÀ» °ÍÀÌ´Ù.
¿ÀǼҽº ¼ÒÇÁÆ®¿þ¾î »ýÅ°è´Â ½¬Áö ¾Ê°í º¯ÇÏ´Â °÷ÀÌ´Ù. »õ·Î¿î ÆÐÅ°Áö°¡ ¸ÅÀÏ Ãß°¡µÇ°í, Àü¿¡ ÀÖ´ø °ÍµéÀÌ »ç¶óÁö±âµµ ÇÑ´Ù. Çö´ë ¼ÒÇÁÆ®¿þ¾î »ýÅ°èÀÇ °¡Àå Å« ´ö¸ñ Áß Çϳª´Â CD, Áï ½¬Áö ¾Ê°í ¹èÆ÷µÇ´Â °ÍÀÌ´Ù. ¼ÒÇÁÆ®¿þ¾îµéÀÌ ´õ »¡¸® º¯ÇÏ°í, ´õ »¡¸® ž¸ç, ´õ »¡¸® Á×À» ¼ö¹Û¿¡ ¾ø´Ù. ½Ä·áǰó·³ ÇÑ ¹ø Æ÷ÀåÀÌ ¿Ï·áµÇ¸é À¯Åë±âÇÑÀÌ ´Ù µÉ ¶§±îÁö ÀüÇô º¯ÇÏÁö ¾Ê°í ¿òÁ÷ÀÌÁöµµ ¾ÊÀº ä ¼±¹Ý¿¡ °¡¸¸È÷ ÀÖ´Â °Ô ¾Æ´Ï´Ù. Æ÷ÀåÁö ¼Ó ³»¿ë¹°ÀÌ ´Ã Á¶±Ý¾¿ º¯ÇÑ´Ù¸é ¾î¶³±î? ±×·¡¼ »óÀÚ¿¡ ÀμâµÈ Àç·á Á¤º¸°¡ ´Ã Ʋ¸° °ÍÀ̶ó¸é ¾î¶² Àǹ̸¦ °¡Áú ¼ö ÀÖÀ»±î? ¿ì¸®°¡ Áö±Ý ¸¸µé°íÀÚ ÇÏ´Â SBOMÀÌ ¹Ù·Î ÀÌ·± ¹®Á¦¸¦ Çϳªµµ ÇØ°áÇÏÁö ¸øÇÑ °ÍÀ̶ó¸é, Áö±Ýó·³ SBOMÀÌ ½Ã±ÞÈ÷ ¸¶·ÃµÇ¾î¾ß ÇÑ´Ù´Â ÁÖÀå¿¡ ¸î »ç¶÷À̳ª ¼ÕÀ» µé¾îÁÙ ¼ö ÀÖÀ»±î?
ÇÊÀÚ´Â SBOMÀÇ Àǵµ ÀÚü¸¦ ºÎÁ¤ÇÏ·Á´Â °ÍÀÌ ¾Æ´Ï´Ù. ½Ãµµ´Â ºÐ¸íÈ÷ ÀÖÀ½Á÷ÇÏ°í, ±× Àǵµ ¿ª½Ã ³ª»ÚÁö ¾Ê´Ù°í »ý°¢ÇÑ´Ù. ´Ù¸¸ ±×°ÍÀÌ Áö±Ý »óÅ·δ Áß´ëÇÑ °áÇÔÀ» °¡Áö°í ÀÖ°í, µû¶ó¼ º¸¿ÏÇØ¾ß ÇÒ °ÍÀÌ ¸¹´Ù´Â °ÍÀÌ´Ù. ¼ÒÇÁÆ®¿þ¾î »ýÅ°è´Â ½Ä·áÇ° »ê¾÷°ú´Â ¸¹ÀÌ ´Ù¸£´Ù. °³³ä Â÷¿øÀÌ ¾Æ´Ï¶ó ¹æ¹ý·Ð±îÁö ±×µéÀÇ °ÍÀ» ±×´ë·Î Â÷¿ëÇÒ ¼ö´Â ¾ø´Ù.
±Û : ÇÇÅÍ ¸ð°Ç(Peter Morgan), ȸÀå, Phylum
[±¹Á¦ºÎ ¹®°¡¿ë ±âÀÚ(globoan@boannews.com)]
<ÀúÀÛ±ÇÀÚ: º¸¾È´º½º(www.boannews.com) ¹«´ÜÀüÀç-Àç¹èÆ÷±ÝÁö>