TuxCare, 오픈소스 보안 발전을 위해 OpenSSF에 합류

오늘, 오픈소스 보안 재단(OpenSSF)은 발표했습니다 TuxCare를 Aikido, Minimus, ActiveState 및 FreeBSD 재단과 함께 새로운 일반 회원으로 선정했다고 발표했습니다.

OpenSSF 는 리눅스 재단이 주도하는 산업 간 협력 이니셔티브로, 오픈소스 소프트웨어의 개발, 유지보수 및 사용 과정의 보안을 강화하는 데 중점을 두고 있습니다. 이 이니셔티브의 활동은 오픈소스 생태계 전반에 걸쳐 커뮤니티 협업, 기술 이니셔티브, 보안 기준, 서명 및 출처 추적, 공급망 무결성 등을 아우릅니다.

지난 10여 년간 TuxCare는 다양한 조직이 운영 환경에서 오픈소스 소프트웨어의 보안을 유지할 수 있도록 지원해 왔습니다. 이러한 활동은 라이브 커널 패치, 지원 종료 소프트웨어에 대한 장기 지원, 공급망 무결성 관리에 이르기까지 광범위하며, 모두 오픈소스가 현대 소프트웨어의 기반이 됨에 따라 오히려 더욱 복잡해진 문제 해결에 초점을 맞추고 있습니다.

두 가지 변화가 오픈소스에 의존한다는 것의 의미를 재정의했습니다. 첫째, 공개되는 취약점의 수가 많은 팀이 패치를 적용할 수 있는 속도를 훨씬 앞질러 증가하고 있습니다. 둘째, xz 백도어와 npm 패키지 탈취부터 악성 모방 패키지, 심지어 공격자가 AI 어시스턴트가 개발자에게 제안한 허구의 패키지 이름을 등록하는 ‘슬롭스쿼팅(slopsquatting)’에 이르기까지, 공급망 공격이 오픈소스 소프트웨어가 침해되는 주요 수단으로 자리 잡았습니다.

AI는 양방향으로 문제를 악화시키고 있습니다. 공격자들은 AI를 활용해 공격 규모를 확대하고 전술을 위장하는 한편, 방어 측에서는 보안이 취약한 AI 산출물을 그대로 운영 환경에 도입하고 있습니다. 베라코드(Veracode)의 2025년 GenAI 코드 보안 보고서 에 따르면, AI가 생성한 코드 샘플의 45%가 OWASP Top 10 취약점을 포함하고 있었으며, 모델 세대가 바뀌어도 의미 있는 개선은 나타나지 않았습니다.

개발자와 보안 팀에게는 이로 인해 새로운 신뢰 문제가 발생합니다. 빌드에 포함되는 모든 패키지는 누가 빌드했는지, 어떤 내용이 포함되어 있는지, 어디서 왔는지, 그리고 신뢰할 수 있는지에 대한 까다로운 의문을 제기합니다. 현대적인 애플리케이션은 대개 수백 개에서 수천 개에 달하는 직접적 및 간접적 패키지에 의존합니다. 어떤 팀도 이 모든 패키지를 수동으로 검토할 수는 없습니다.

이러한 격차를 생태계 차원에서 해소하기 위해서는 어느 한 기업이 단독으로 구축할 수 있는 것 이상의 노력이 필요합니다. 이를 위해서는 출처 및 서명에 대한 산업 간 표준, 취약점 공개의 체계적 조정, 실용적인 보안 기준, 그리고 핵심 오픈소스 프로젝트를 관리하는 유지보수 담당자에 대한 지속적인 지원이 필요합니다. OpenSSF는 벤더, 유지보수 담당자, 기업, 보안 팀 간의 협력을 위한 중립적인 장을 제공하므로, 이러한 작업을 수행하기에 가장 적합한 플랫폼입니다.

TuxCare의 역할

TuxCare의 역할은 오픈소스 보안의 운영 측면에 중점을 두고 있습니다. 즉, 조직이 현재 사용 중인 소프트웨어가 운영 환경에서 사용되는 동안 안전하고 신뢰할 수 있으며 지속적인 지원을 받을 수 있도록 돕는 것입니다.

바로 이 부분에서 SecureChain이 그 역할을 합니다. SecureChain은 검증된 출처와 지속적인 취약점 패치부터 업스트림 지원이 종료된 후의 장기적인 보호에 이르기까지, 기본적으로 신뢰성이 내재된 오픈소스 패키지를 기업이 체계적으로 활용할 수 있는 방법을 제공합니다.

오픈소스 공급망 보안을 강화하는 것이 계획에 포함되어 있다면, 다음 내용을 확인해 보세요 SecureChain이 이 어떤 기능을 제공하는지 확인해 보십시오.

요약