C 라이브러리, 의존성 추적은 왜 어려울까?
by DD
4개월 전
조회수 22
C 언어 기반의 curl 및 libcurl은 표준 패키지 관리 시스템에 포함되지 않아 의존성 추적 도구(Dependency Tracking Tools)에서 누락되는 경우가 많음
PURL(Package URLs)과 같은 표준이 C 라이브러리를 제대로 지원하지 못하며, SBOM 생성 시 정확한 의존성 정보를 제공하지 못하는 문제 발생
운영체제(OS)에 번들되어 배포되는 경우가 많아, 의존성 그래프(Dependency Graph)에서 누락되어 보안 취약점(Security Vulnerabilities)을 파악하기 어려움
커뮤니티에서는 apt, RPM 등 기존 패키지 관리자를 언급하며, 최신 도구들의 한계를 지적함
패키지 관리 시스템의 한계
본문에서는 curl과 libcurl이 표준 패키지 관리 시스템(Package Management System)에 포함되지 않아 의존성 추적 도구에서 누락되는 문제를 지적한다. 특히, apt, RPM과 같은 기존 패키지 관리자를 지원하지 않는 도구들의 한계를 언급하며, SBOM(Software Bill of Materials) 생성 시 정확한 의존성 정보를 제공하지 못하는 문제를 제기한다. 이는 보안 취약점(Security Vulnerabilities) 분석 및 관리의 어려움으로 이어진다. 🧐
PURL(Package URLs)의 부적합성
PURL(Package URLs)은 패키지 식별을 위한 표준이지만, curl 및 libcurl과 같은 C 라이브러리를 제대로 지원하지 못하는 것으로 나타났다. 은 pkg URI 스키마를 사용하지만, 이는 등록되지 않은 스키마로, 에 어려움을 야기한다. PURL이 패키지와 의존성을 혼동한다는 비판도 제기되었다. 🔗
