ITPE * JackerLab

개요Sigstore Fulcio는 소프트웨어 공급망의 신뢰성을 보장하기 위해 개발된 오픈소스 인증기관(Certificate Authority, CA)으로, 개발자의 ID(OIDC 기반)를 바탕으로 코드 서명용 단기 X.509 인증서를 발급합니다. GitHub Actions, GitLab CI 같은 자동화 환경과 자연스럽게 연동되며, 코드 서명의 투명성과 검증 가능성을 확보하는 Sigstore 생태계의 핵심 구성요소입니다.1. 개념 및 정의Sigstore: 코드 서명과 검증을 위한 오픈소스 프로젝트 세트 (Fulcio, Rekor, Cosign 등 포함)Fulcio: OIDC(OpenID Connect) 인증을 통해 인증서를 발급하는 CA 서버기능 요약: 인증서 발급, 서명자 ID 추적, 투명 로그와 연동..

개요Provenance Attestation은 소프트웨어의 생성, 빌드, 배포 과정에서 발생하는 모든 활동의 출처와 무결성을 증명하기 위한 메타데이터 체계이다. 본 글에서는 공급망 보안의 핵심 축으로 떠오른 Provenance Attestation의 개념, 구성 요소, 기술 표준, 적용 사례 등을 다루어 DevSecOps 및 보안 전략 수립에 실질적인 통찰을 제공한다.1. 개념 및 정의 항목 설명 정의Provenance Attestation은 소프트웨어 구성 요소의 생성 및 변경 이력을 추적 가능한 형태로 기록하고 증명하는 메커니즘이다.목적코드, 빌드, 아티팩트의 출처와 무결성을 보장하여 공급망 공격 대응필요성SolarWinds, Log4Shell 사건 이후 신뢰 가능한 소프트웨어 유통의 중요성 부각2..

개요Policy-as-Code(PaC)는 인프라, 애플리케이션, 배포 파이프라인에 적용되는 보안, 권한, 거버넌스 정책을 선언적 코드로 정의하고 자동으로 평가 및 적용하는 접근 방식입니다. 이는 수동 검토나 문서 기반 정책을 대체하며, CI/CD 파이프라인, 쿠버네티스 클러스터, 클라우드 인프라 등에서 지속적 정책 준수와 감사 가능성을 보장합니다. 대표적인 도구로는 Open Policy Agent(OPA), Rego, HashiCorp Sentinel, Kyverno, AWS SCP 등이 있습니다.1. 개념 및 정의Policy-as-Code는 정책을 사람이 아닌 시스템이 이해하고 실행할 수 있도록 머신 판독 가능한 형식으로 정의하며, 다음 특징을 가집니다:정책은 코드와 함께 저장소에 버전 관리 가능자동화..