기술 지원
문서
로그인
문의하기
제품이 고객사의 재고에 입고되기 전에 확보되며, 수명 종료일까지 지속적으로 관리됩니다.
생태계가 주는 모든 혜택. 무분별한 신뢰는 일절 없습니다.
오픈 소스 소프트웨어를 위한 SecureChain
보안 강화된 PHP 공급망 – 설치 시 신뢰할 수 있으며, 악성코드 검사를 거쳤고, 스택에 남아 있는 동안 지속적으로 보호됩니다
SecureChain은 Packagist를 대체하여, 소스 코드에서 재컴파일된 검증된 대안을 제공합니다. 이 서비스는 설치 과정에서 모든 패키지를 철저히 검증하고, 취약점 수정 패치를 지속적으로 제공하며, 유지보수자가 업데이트 배포를 중단한 후에도 오랫동안 PHP 종속성을 안전하게 보호합니다.
PHP의 의존성 모델에는 잠재된 위험이 도사리고 있다
Packagist는 대부분의 최신 PHP 애플리케이션의 기반이 됩니다.
하지만 개방형 구조 때문에 악용될 위험이 있다.
유지보수자가 신뢰할 수 없게 되거나 패키지가 방치되는 등, 위험 요소가 빠르게 쌓여갑니다.
하나의 생태계. 지속적인 노출.
-
PHP Git 서버 해킹
PHP 공식 소스 코드에 백도어 커밋이 심겨 있었다. 출시 전에 발견되었지만, 런타임 자체도 공격 표면의 일부라는 점을 다시금 상기시켜 주는 사례다.
-
유실된 소포 악용
널리 사용되는 라이브러리가 유지보수되지 않은 채 방치되었다가, 나중에 공격의 통로로 악용되곤 한다.
PHP 애플리케이션은 의존하는 패키지보다 수명이 더 깁니다.
PHP 의존성 관리에 리스크가 어떻게 유입되는가
Composer가 패키지를 해결하고 설치하는 방식에는 본질적으로 위험이 내재되어 있습니다.
작곡가 설치 및 업데이트 시마다
각 Composer 설치 과정은 공개 레지스트리에서 데이터를 가져옵니다.
그 신뢰는 악용될 수 있다.
- 도난당한 소포
- 조작된 공개
- 악성 스크립트
- 의존성 혼동
정비 중단 후 발생하는 모든 일
각 Composer 설치 과정은 공개 레지스트리에서 데이터를 가져옵니다.
그 신뢰는 악용될 수 있다.
- 프로젝트가 중단된다
- 보안 수정 사항 중단
- 새로운 CVE가 계속해서 발견되고 있다
그래도 앱은 계속 실행하고 있습니다.
PHP 보안 솔루션은 각각 하나의 계층을 담당합니다.
위험은 빈틈에 숨어 있습니다. SecureChain은 그 어떤 빈틈도 남기지 않습니다.
SecureChain은 단순한 조언에 그치지 않고 적극적으로 대응한다는 점에서 차별화됩니다.
그리고 유지보수자가 그만두더라도 그 일은 멈추지 않습니다.
오픈 소스 소프트웨어를 위해
PHP 패키지를 위한 전체 수명 주기 보안
패키지를 설치하는 순간부터 유지보수자가 지원을 중단한 지 한참이 지난 후까지.
패키지 수명 주기
입양하기
구축 및 배포
운영
제품 수명 종료 후
유지보수 기간이 끝난 후에도 오랫동안 보장됩니다
방문 보안:
개발자들에게는 아무런 변화가 없습니다
리포지토리 관리자(또는 패키지 관리자)를
SecureChain으로 설정하고 작업을 계속하세요.
동일한 패키지, 동일한 API, 동일한 워크플로.
호환 기기:
JFrog Artifactory
소나타입 넥서스
GitHub 패키지
모든 단계에서 PHP 패키지의 보안을 강화하세요
SecureChain이 설치 시 패키지를 어떻게 검증하고, 취약점을 지속적으로 패치하며, 유지보수 기간이 끝난 후에도 오랫동안 의존성 구성 요소를 보호하는지 문의해 주십시오.
문의하기
오픈 소스의 속도와 유연성을 갖추면서도,
위험은 없는 솔루션.
SecureChain을 통해 모든 패키지는 다음과 같습니다:
재구축 및 검증 완료
모든 패키지는 보안이 강화되고 격리된 환경에서 소스 코드부터 다시 빌드됩니다. 기존 바이너리를 재사용하지 않으며, 출처가 불분명한 업스트림 아티팩트도 포함되지 않습니다. 사용자가 설치하는 것은 처음부터 끝까지 검증된, 직접 빌드된 결과물 그 자체입니다.
악성코드 검사 완료
모든 패키지는 알려진 악성코드, 의심스러운 코드 패턴 및 공급망 위험 요소에 대해 검사를 거칩니다. 검사를 통과하지 못한 항목은 사용자의 환경에 도달하기 전에 차단됩니다.
지속적으로 패치됨
CVE가 발견되면 SLA에 따라 활성 구성 요소가 모니터링되고 패치가 적용됩니다. 업스트림 유지보수가 종료된 후에도, Endless Lifecycle Support(ELS)를 통해 해당 패키지를 사용하는 한 계속해서 수정 사항이 제공됩니다.
규정 준수 및 감사 대비 완료
현재 실행 중인 구성 요소와 패치 적용 내역을 정확히 파악하세요. SLSA 레벨 3 출처 정보, SBOM 및 VEX는 완벽한 공급망 보증을 제공하며, 이는 감사 담당자가 필요할 때 즉시 확인할 수 있는 근거 자료입니다.
+ 실시간 보도
사용 중인 패키지가 아직 카탈로그에 등록되어 있지 않다면,
에서 추가 비용 없이 해당 패키지를 등록해 드립니다. 다른 모든 패키지와 마찬가지로 검증, 패치 적용 및 기술 지원을 제공합니다.
위험을 감수하는 팀을 위해 설계되었습니다:
보안 및 개발자 보안 운영(
) DevSecOps
설치 시 구성 요소를 철저히 검증하고, 설치 후에는 지속적인 보호 기능을 제공합니다. 제품 수명 주기 전반에 걸쳐 사각지대가 없습니다.
의 엔지니어링 리더십
워크플로우 변경이 없습니다. 종료를 앞둔 종속성이 있어도 강제로 코드를 다시 작성할 필요가 없습니다.
규정 준수
및 GRC
내장된 SBOM, VEX, 출처 정보 및 패치 적용 범위 – 설계 단계부터 감사에 대비했습니다.
왜 TuxCare를 선택해야 할까요?
전 세계 혁신 기업들이 선택했습니다.
자주 묻는 질문
일반적으로 Packagist 자체에서 제공되는 것은 아닙니다. Packagist는 Composer가 GitHub나 GitLab과 같은 외부 저장소를 참조할 수 있도록 안내하는 디렉토리 역할을 하며, 설치 시 해당 저장소에서 코드가 가져옵니다. SecureChain은 이러한 모델을 대체하여, 모든 PHP 패키지가 배포 전에 검증되는 관리형 저장소를 제공합니다.
Composer를 통한 설치 과정은 팀이 예상하는 것보다 더 큰 위험을 초래할 수 있습니다. Composer는 composer.json에 정의된 스크립트를 실행할 수 있으며, 종속성에는 설치 또는 애플리케이션 시작 시 실행되는 코드가 포함될 수 있습니다. SecureChain은 소스 코드를 검토하여 이러한 동작을 파악하고, 악성 PHP 패키지가 사용자의 환경에 도달하기 전에 차단합니다.
이들의 규모는 매우 클 수 있습니다. Laravel이나 Symfony와 같은 프레임워크는 100개가 훨씬 넘는 전이적 패키지를 포함할 수 있습니다. 이들 중 상당수는 수동으로 검토되지 않지만, 여전히 애플리케이션 보안에 영향을 미칩니다. SecureChain은 PHP 패키지 트리에 포함된 모든 종속성을 검증하고, 스캔하며, 지속적으로 패치를 적용합니다.
무엇이 설치되는지, 그리고 어떻게 동작하는지를 제어할 수 있어야 합니다. SecureChain은 검증된 Composer 패키지 소스를 제공하며, 악성 패키지를 차단하고, 전체 의존성 트리 전반에 걸쳐 취약점에 대한 패치를 지속적으로 적용합니다.
아니요. SecureChain은 취약점을 지속적으로 모니터링하고, 사용자가 실행 중인 버전에 대해 검증된 수정 사항을 제공하므로, Composer에 대한 수동 감사 작업의 필요성을 줄여줍니다.
보안 패치 제공은 중단되지만, 취약점은 여전히 존재합니다. SecureChain은 PHP 패키지를 위한 ‘무한 라이프사이클 지원(Endless Lifecycle Support)’과 결합되어, 프레임워크를 즉시 업그레이드하거나 코드를 재작성하지 않아도 보안을 유지할 수 있게 해줍니다.
아닙니다. SecureChain은 바로 적용 가능한 대체 솔루션입니다. 개발자들은 기존과 동일한 Composer 명령어와 워크플로를 계속 사용할 수 있습니다.
