Rust 공급망 보안, 누구의 책임인가? 0-click RCE 취약점과 개발자 자율 감사 강조

논의에서는 Rust의 build.rs와 프로시저 매크로(Procedural Macros)가 시스템 레벨 접근 권한을 가지며, rust-analyzer와 같은 도구에서 자동으로 실행될 수 있다는 점을 지적한다. 특히, 텍스트 편집기에서 프로젝트를 열기만 해도 악성 코드가 실행될 수 있는 0-click RCE(Remote Code Execution) 취약점은 심각한 문제로 언급된다. 이러한 취약점은 Rust 개발 환경의 보안성을 저해하는 주요 원인으로 지목된다.

오픈소스 소프트웨어(Open Source Software)의 특성상, 공급망 보안에 대한 책임 소재가 불분명하다는 점이 강조된다. MIT 라이선스와 같은 오픈소스 라이선스는 '있는 그대로(AS IS)'의 소프트웨어를 제공하며, 보증을 제공하지 않는다. 따라서, crates.io와 같은 생태계가 모든 보안 문제를 책임질 수 없으며, 궁극적으로 사용자 스스로의 코드 감사(Code Auditing)가 필수적이라는 결론에 도달한다.

Rust 생태계의 보안 개선을 위한 노력에도 불구하고, Rust Foundation의 자원 부족 문제가 현실적인 어려움으로 지적된다. 2023년 순손실을 기록한 재정 상황은, 오픈소스 프로젝트의 지속적인 보안 강화에 필요한 인력 및 자원 확보의 어려움을 보여준다. 이러한 자원 부족은 공급망 보안(Supply-chain Security) 문제 해결을 더욱 어렵게 만든다.

결론적으로, Rust 생태계의 공급망 보안은 개발자 개개인의 책임이라는 점이 강조된다. Lockfile을 통한 의존성 관리, 특정 버전의 crate 사용, cargo-vet과 같은 도구 활용, 그리고 crates.io의 다운로드 통계 및 소스 코드 검토를 통해 잠재적 위험을 줄여야 한다. cargo update --dry-run을 활용하여 업데이트 전 변경 사항을 확인하는 것도 권장된다.