블로그 시리즈

오픈 소스 소프트웨어를 위한 SecureChain

카테고리 없음

SecureChain은 모든 크레이트를 재구성하고...

주요 요점: 화물 출처 대체는 대체된 출처가 동일한 크레이트 내용물을 취급한다고 가정하므로, 프로젝트 파일을 변경할 필요가 없습니다. 레지스트리 측의 심사는 크레이트가 무엇을...

Packagist의 ‘Mutable Tags’ 기능으로 인해 악성코드가...

주요 요점: Packagist는 아티팩트를 호스팅하는 대신 Git 태그를 색인화하므로, 2026년 7월까지 공개된 버전이 다른 커밋으로 조용히 재지정될 수 있었습니다. 2026년에 발생한 두 건의 사고에서 이러한 현상이 나타났습니다...

SecureChain은 PHP에 지속적으로 패치를 적용하고 있습니다...

주요 요점: 방치된 패키지는 CVE가 공개된 상태라 하더라도 Packagist를 통해 계속 설치할 수 있습니다. 이는 패키지 수정이 애초에 Packagist의 역할이 아니었기 때문입니다. SecureChain은 설치 전에 PHP 패키지를 재컴파일하고 검사한 다음, 이를 유지 관리하며...

SecureChain이 pip 실행 전에 탐지하는 것...

주요 요점: 공개 PyPI는 패키지의 기능을 확인하는 것이 아니라, 누가 패키지를 게시했는지만 확인합니다. SecureChain은 패키지가 사용자의 환경에 도달하기 전에 이를 검사하고 재빌드합니다. 재빌드된 아티팩트에는 새로운 해시 값이 부여되므로...

CVE를 읽는 방법...

터미널에 CVE ID가 나타나는데, 의도치 않게 설치한 적이 없는 패키지에 연결되어 있다면, 본능적으로 최악의 상황을 가정하게 됩니다. 우리 모두 그런 경험을 한 번쯤은 해봤을 겁니다. 이런...

SecureChain과 Snyk을 비교해 보았습니다,...

주요 내용: Socket은 의존성 수준에 상관없이 악성 패키지를 차단하며, 이제 9개 생태계에 걸쳐 패치를 역이식합니다. Sonatype Firewall은 인그레스에서 필터링을 수행하지만, 대신 업그레이드를 권장합니다...

가짜 잭슨 도서관은...

주요 내용: 2025년 12월, 잭슨(Jackson)과 네임스페이스 구역 하나만 떨어진 곳에 게시된 패키지가 메이븐 센트럴(Maven Central)에서 코발트 스트라이크(Cobalt Strike)를 제공했으나, 관련 CVE는 없었습니다. 메이븐 센트럴은 네임스페이스의 제어권을 검증합니다...