SLSA (Supply-chain Levels for Software Artifacts)

개요

SLSA(Supply-chain Levels for Software Artifacts)는 소프트웨어 공급망 보안 강화를 위한 표준 프레임워크로, 빌드, 패키징, 배포 전 과정에서의 무결성과 추적 가능성을 보장합니다. 구글이 주도하고 OpenSSF(Open Source Security Foundation)가 발전시키고 있는 이 모델은 오픈소스 및 기업 내 소프트웨어 개발 생명주기 전반에 걸쳐 신뢰 체계를 구축할 수 있도록 설계되었습니다.

---

1. 개념 및 정의

SLSA는 소프트웨어 아티팩트(Artifact)가 신뢰할 수 있는 출처에서 생성되었음을 증명하기 위한 보안 수준 체계를 정의합니다. 레벨 1부터 4까지 있으며, 각 단계는 점진적으로 높은 보안 요구사항을 포함합니다.

• 목적: 빌드 및 배포 단계에서의 위변조 방지 및 신뢰성 확보
• 필요성: 공급망 공격(예: SolarWinds, Log4Shell) 증가에 따른 대응 체계 필요
• 적용 대상: CI/CD 파이프라인, 오픈소스 프로젝트, 기업 소프트웨어 제품군

---

2. 특징

구분	설명	비고
레벨 기반 프레임워크	SLSA 1~4 단계로 보안 강화 수준 정의	점진적 도입 가능
감사 가능성 확보	소프트웨어 생성 과정을 추적 및 검증	Provenance 포함
자동화 중시	빌드·검증 과정의 자동화를 권장	CI/CD와 통합 필수

기존 DevOps 환경에 무리 없이 통합되며, 보안에 대한 책임 범위를 명확히 합니다.

---

3. 구성 요소

구성 요소	설명	관련 기술/도구
Provenance	소프트웨어 생성에 대한 메타데이터	in-toto, Sigstore
Build System	아티팩트를 생성하는 빌드 인프라	GitHub Actions, Tekton, Jenkins
Source Control	코드의 기원과 버전 관리	Git, GitLab, Bitbucket
Verification	서명 및 검증을 통한 위변조 방지	GPG, Rekor, Keyless Signing

Provenance는 어떤 코드에서 어떤 빌드로 어떤 환경에서 생성되었는지를 추적합니다.

---

4. 기술 요소

기술 요소	설명	적용 사례
SLSA Level 1	빌드 스크립트의 정의 및 저장	단순 자동화 프로젝트
SLSA Level 2	빌드 자동화 및 증적 저장	GitHub Actions + Provenance 생성
SLSA Level 3	독립된 빌드 서비스에서 빌드	Tekton Pipelines + Signing
SLSA Level 4	재현 가능한 빌드 및 완전한 서명 체계	in-toto + Secure Provenance

레벨이 높아질수록 공격 가능성이 낮아지고, 감사 및 규제 대응이 용이해집니다.

---

5. 장점 및 이점

장점	설명	기대 효과
공급망 공격 대응력 강화	전체 개발 체인을 추적 및 제어	보안 사고 예방
신뢰 기반 배포 체계 수립	사용자에게 검증된 코드 제공	코드 채택률 향상
규제 및 감사 대응	감사 로그 및 Provenance로 규정 대응	금융·공공 분야 필수 요소

SLSA는 DevSecOps 구현의 핵심 지침으로, 보안과 품질을 동시에 달성할 수 있습니다.

---

6. 주요 활용 사례 및 고려사항

사례	내용	고려사항
오픈소스 공급망 보호	Sigstore 및 GitHub Actions 통한 Provenance 생성	Contributor 관리 필요
금융기관 SW 릴리스 관리	SLSA 준수를 통한 규제 대응	고도화된 서명체계 구축 필요
내부 CI/CD 보안 강화	Tekton + in-toto로 빌드 이력 보장	성능 영향 최소화 전략 필요

SLSA 도입 시, 기존 파이프라인에 미치는 영향을 고려한 단계적 도입이 효과적입니다.

---

7. 결론

SLSA는 소프트웨어 공급망의 무결성, 신뢰성, 추적 가능성을 확보하기 위한 강력한 보안 프레임워크로, DevOps 및 DevSecOps 환경에서의 보안 표준으로 자리잡아가고 있습니다. 특히 오픈소스 생태계, 클라우드 네이티브 개발 환경, 금융·공공기관의 보안 컴플라이언스 대응에 최적화된 접근 방식을 제공합니다. SLSA는 소프트웨어가 신뢰받을 수 있도록 만드는 가장 근본적인 안전장치입니다.