pip v26.1, 악성코드 방어 위한 '상대적 쿨다운' 도입!
by DD
2개월 전
조회수 14
pip v26.1에서 상대적 종속성 쿨다운(Relative Dependency Cooldowns) 기능이 추가되어 패키지 설치 시 보안을 강화함
`uploaded-prior-to` 옵션을 통해 PyPI에 업로드된 지 일정 기간 지난 패키지만 설치 가능
악성코드 탐지 및 제거 시간을 고려하여 안전한 패키지 설치(Safe Package Installation)를 지원함
취약점 패치(Vulnerability Patch)를 우선시하는 종속성 관리 전략과 함께 사용 권장
상대적 종속성 쿨다운(Relative Dependency Cooldowns)의 작동 원리
pip v26.1에 도입된 상대적 종속성 쿨다운 기능은 PyPI에 업로드된 패키지의 릴리스 시점을 기준으로 일정 기간이 지난 패키지만 설치하도록 설정한다. 이는 악성코드가 PyPI에 업로드된 후 탐지 및 제거되기까지의 시간을 고려한 것으로, `~/.config/pip/pip.conf` 파일 또는 CLI 옵션을 통해 설정할 수 있다. 특히, `PND` 형식을 사용하여 며칠(N) 단위로 쿨다운 기간을 지정할 수 있다.
보안 강화 및 공급망 공격 방어
이 기능은 PyPI와 같은 공용 인덱스에서 발생하는 공급망 공격(Supply Chain Attacks)으로부터 사용자를 보호하는 데 기여한다. 대부분의 악성코드는 업로드 후 몇 시간 내에 탐지 및 제거되므로, 쿨다운 기간을 설정하면 악성 패키지 설치 위험을 줄일 수 있다. 데이터 미저장 정책(Zero-Retention Policy)을 통해 보안을 강화하는 것과 유사한 맥락으로 이해할 수 있다.
