루비 생태계, 쿨다운 도입 논의: 패키지 보안 강화, 선택 아닌 필수?
공격적인 패키지(Malicious Package) 배포를 막기 위해, 주요 패키지 매니저(Package Manager)에서 쿨다운(Cooldown) 기능 도입
쿨다운은 신규 릴리스(New Release) 후 일정 기간(Waiting Period) 동안 설치를 지연시켜 보안 연구원(Security Researcher)의 탐지 시간 확보를 목표로 함
루비젬스(RubyGems)와 번들러(Bundler)는 쿨다운 기능 부재로, 옵트인(Opt-in) 방식의 기능 추가를 논의 중
쿨다운의 한계점과 함께, 자동 스캔(Automated Scanning) 및 메타데이터(Metadata) 활용 등 추가적인 보안 강화 방안 모색
쿨다운(Cooldown) 기능의 작동 원리
쿨다운(Cooldown)은 신규 패키지 릴리스(Package Release) 후 일정 기간 동안 설치를 지연시키는 기능이다. 이는 악성 패키지(Malicious Package) 배포 시, 보안 연구원(Security Researcher)이 해당 패키지를 분석하고 대응할 시간을 확보하기 위함이다.
지연 기간(Waiting Period): 3일에서 7일 사이로 설정 가능하며, 릴리스된 패키지의 심각도에 따라 유동적으로 적용
자동화된 스캔(Automated Scanning): 쿨다운과 더불어, 루비젬스(RubyGems) 측에서 새로운 릴리스를 자동으로 스캔하여 악성 코드(Malicious Code) 유무를 판단
메타데이터(Metadata) 활용: 스캔 결과 및 위험도(Risk)를 메타데이터로 제공하여, 쿨다운 기간을 조절하거나 설치 여부를 결정하는 데 활용
쿨다운(Cooldown) 기능의 한계점
쿨다운(Cooldown)은 패키지 보안(Package Security)을 강화하는 데 기여할 수 있지만, 몇 가지 한계점 또한 존재한다.
'기니피그(Guinea Pig)' 문제: 쿨다운 적용 시, 새로운 릴리스를 먼저 시도하는 사용자가 줄어들어 문제점을 발견하는 속도가 느려질 수 있음
긴급 보안 패치(Urgent Security Patch) 지연: 쿨다운은 긴급한 보안 패치(Security Patch)의 적용을 지연시켜, 취약점(Vulnerability) 노출 기간을 늘릴 수 있음
안전 불감증(Illusion of Safety): 쿨다운만으로는 오래된 패키지의 취약점을 보장할 수 없으며, 지속적인 보안 점검(Security Audit)의 중요성을 간과할 수 있음
루비(Ruby) 생태계의 쿨다운(Cooldown) 도입 현황
루비(Ruby) 생태계에서는 쿨다운(Cooldown) 기능 도입을 위한 논의가 진행 중이며, 다양한 측면에서 고려 사항이 존재한다.
옵트인(Opt-in) 방식: 쿨다운은 기본적으로 비활성화(Disabled) 상태로 제공되며, 사용자가 필요에 따라 활성화하는 옵트인(Opt-in) 방식을 제안
설정 옵션(Configuration Option): `bundle update --cooldown 3`과 같은 CLI 옵션(CLI Option) 또는 `bundle config set cooldown 3`과 같은 설정 파일을 통해 쿨다운 기간을 설정
Gemfile 통합: 젬파일(Gemfile) 내에서 쿨다운 설정을 블록(Block) 형태로 지원하여, 개별 젬(Gem)에 대한 쿨다운 기간 설정 가능
CI/CD 환경 지원: 깃허브 액션(GitHub Actions)과 같은 CI/CD 환경에서 쿨다운 기능을 지원하여, 자동화된 패키지 업데이트(Automated Package Update) 환경 구축
쿨다운(Cooldown) 외 보안 강화 방안
쿨다운(Cooldown) 기능 외에도, 루비(Ruby) 생태계의 보안을 강화하기 위한 다양한 방안이 논의되고 있다.
자동 스캔(Automated Scanning) 강화: 루비젬스(RubyGems) 측에서 새로운 릴리스를 자동으로 스캔하여, 악성 코드(Malicious Code)를 사전에 탐지
메타데이터(Metadata) 활용: 스캔 결과, 소유자 변경 이력 등 위험 정보를 메타데이터로 제공하여, 사용자가 패키지 설치 여부를 결정하는 데 도움
샌드박싱(Sandboxing) 기술 도입: 젬(Gem) 설치 시 코드 실행을 샌드박스(Sandbox) 환경에서 수행하여, 잠재적인 보안 위협(Security Threat)을 차단
다운로드/설치 단계 분리: 다운로드(Download)와 설치(Install) 단계를 분리하여, SAST(Static Application Security Testing)와 같은 보안 검사(Security Check) 수행
