ITPE * JackerLab

개요Provenance Attestation은 소프트웨어의 생성, 빌드, 배포 과정에서 발생하는 모든 활동의 출처와 무결성을 증명하기 위한 메타데이터 체계이다. 본 글에서는 공급망 보안의 핵심 축으로 떠오른 Provenance Attestation의 개념, 구성 요소, 기술 표준, 적용 사례 등을 다루어 DevSecOps 및 보안 전략 수립에 실질적인 통찰을 제공한다.1. 개념 및 정의 항목 설명 정의Provenance Attestation은 소프트웨어 구성 요소의 생성 및 변경 이력을 추적 가능한 형태로 기록하고 증명하는 메커니즘이다.목적코드, 빌드, 아티팩트의 출처와 무결성을 보장하여 공급망 공격 대응필요성SolarWinds, Log4Shell 사건 이후 신뢰 가능한 소프트웨어 유통의 중요성 부각2..

개요in-toto Attestation은 소프트웨어 공급망의 각 단계를 추적하고, 해당 단계들이 신뢰할 수 있는 주체에 의해 수행되었음을 증명하는 보안 메커니즘입니다. SLSA(Supply-chain Levels for Software Artifacts) 및 SBOM(Software Bill of Materials) 등과 함께 현대 DevSecOps 환경에서 핵심적으로 활용되며, 소프트웨어 무결성과 신뢰성을 높이는 데 기여합니다.1. 개념 및 정의in-toto는 소프트웨어 아티팩트의 생성, 테스트, 배포 등 모든 공급망 단계에서의 행위자를 명확히 식별하고, 해당 작업이 실제로 수행되었음을 보증하는 'attestation'을 생성합니다.in-toto: 각 공급망 단계의 메타데이터(행위자, 명령어, 입력/출..

개요OpenSSF Scorecards는 오픈소스 소프트웨어 프로젝트의 **보안 위생(Security Hygiene)**을 자동으로 평가하는 도구입니다. GitHub 저장소를 대상으로 20여 가지 보안 기준을 바탕으로 점수를 매기며, 소프트웨어 공급망 보안의 첫 단계를 자동화하는 데 기여합니다. 이 프로젝트는 오픈소스 보안을 강화하기 위한 OpenSSF(Open Source Security Foundation)의 핵심 이니셔티브 중 하나입니다.1. 개념 및 정의OpenSSF Scorecards는 개발자나 보안 담당자가 오픈소스 프로젝트를 선택하거나 운영할 때, 해당 프로젝트의 보안 상태를 정량적으로 파악할 수 있도록 설계된 자동화 평가 도구입니다.이 툴은 GitHub API를 활용해 프로젝트의 커밋 서명 ..

개요SLSA(Supply-chain Levels for Software Artifacts)는 소프트웨어 공급망(Supply Chain) 전반에 걸쳐 보안성과 무결성을 강화하기 위한 개방형 보안 프레임워크입니다. 구글(Google)이 주도하고 오픈소스 커뮤니티가 발전시키고 있는 이 모델은 최근 소프트웨어 공급망 공격이 증가함에 따라, 개발-빌드-배포 과정의 신뢰성을 확보하는 데 필수적인 보안 기준으로 각광받고 있습니다.1. 개념 및 정의SLSA는 개발자 코드부터 빌드 시스템, 패키지, 배포 환경까지 모든 소프트웨어 아티팩트(artifacts)가 어떻게 생성되고, 어떤 경로로 배포되는지를 추적 가능하고 검증 가능한 방식으로 관리하도록 설계되었습니다.핵심 목표:소프트웨어 아티팩트의 기원(traceability..