SBOM 증명과 검증의 중요성 2탄: 최신 기술 동향

소프트웨어 공급망 보안의 해결책으로 SBOM이 중요해졌지만, 지난 1탄에서 보았듯 생성만으로는 한계가 있습니다. SolarWinds 사례는 SBOM 증명 과정이 없어 변조된 코드가 포함된 소프트웨어가 퍼졌고, Codecov 사례는 배포된 스크립트의 SBOM 검증 과정 부족으로 스크립트가 변조되었습니다. 이처럼 단순히 SBOM을 만드는 것만으론 부족하며 신뢰성과 무결성을 보장하는 증명·검증이 필요합니다. 이번 2탄에서는 SBOM 증명·검증과 관련된 최신 기술 동향을 깊이 탐구해봅니다.

실제 소프트웨어 공급망 공격 사례를 알아본 SBOM 증명과 검증의 중요성 1탄이 궁금하시다면? 링크를 통해 확인해보세요!

​

■ SBOM 증명·검증의 최신 기술

이 중에서 증명을 위한 서명 기술인 Sigstore의 Cosign에 대해서 자세히 살펴보겠습니다.

Sigstore의 Cosign은 SBOM(Software Bill of Materials)과 같은 소프트웨어 아티팩트를 디지털 서명하여 공급망 보안의 신뢰성을 보장하는 도구입니다.

​

☑️ Sigstore의 Cosign SBOM 증명 원리

• 디지털 서명 적용: SBOM을 서명하여 변경되지 않았음을 보장합니다.
• 공개 키 인프라(PKI): 서명을 검증할 수 있도록 공개 키를 제공하여 SBOM을 받는 사람이 SBOM을 검증할 수 있도록 합니다.
• OCI 레지스트리 연계: SBOM을 컨테이너 레지스트리에 저장할 수 있도록 지원하여, 서명된 SBOM을 중앙에서 관리할 수 있도록 합니다.

​

☑️ Sigstore의 Cosign 작동 방식 예시

☑️ Sigstore의 Cosign 활용 예시

• SBOM이 변조되지 않았음을 보장: 공급망 내에서 SBOM이 위변조되지 않고 제공되었음을 확인 가능.
• 자동화된 검증: CI/CD 파이프라인에서 SBOM을 자동으로 검증하여 위조된 소프트웨어 배포 차단.

​

■ 소프트웨어 공급망 보안에서 SBOM 증명과 검증은 필수입니다.

오늘날 소프트웨어 공급망 보안에서 SBOM이 핵심 요소로 떠오르는 까닭은, 소프트웨어 내부 구성요소를 투명하게 공개함으로써 잠재 취약점을 빠르게 파악할 수 있다는 점 때문입니다. 하지만 SBOM을 한 번 생성해두는 것만으로는 부족합니다. 그 문서가 변조되지 않았는지, 그리고 실제 소프트웨어와 동일한 정보를 담고 있는지를 증명하고 검증해야만 비로소 ‘신뢰할 수 있는 SBOM’이 됩니다.

결론적으로, 공급망 공격을 선제적으로 차단하고 싶다면 SBOM을 ‘만드는 것’에서 한 걸음 더 나아가, ‘어떻게 증명·검증할지’를 고려하며 체계적으로 관리해야 합니다.

아직 SBOM의 실제 현장 적용은 더디지만, 국내외에서 SBOM 관련 기술과 가이드라인 구축이 가속화되고 있습니다. 작년 5월 과학기술정보통신부, 한국인터넷진흥원(KISA), 국가정보원, 디지털플랫폼정부위원회가 합동으로 ‘소프트웨어 공급망 보안 가이드라인 v1.0’을 발표하며, 정부·공공기관·기업이 SW 공급망 사이버보안 위험과 해외 SBOM 제출 의무화에 대응할 수 있도록 지원했습니다. 애플리케이션 보안 전문 기업 스패로우도 SBOM 실증 사업에 참여하며 소프트웨어 공급망 체계 구축에 힘쓰고 있어요.

이런 흐름 속에서 오는 4월 21일까지 한국인터넷진흥원(KISA)과 과학기술정보통신부가 ‘SBOM 기반 공급망 보안 모델 구축 지원사업’을 추진 중이라고 합니다. SBOM 기반 공급망 보안 관리체계를 구축할 수 있도록 기술·재정적 지원을 제공한다고 하니 관심 있으신 분들은 참여해보세요. 앞으로도 이렇게 기업과 기관이 조금만 더 관심과 노력을 기울여 소프트웨어 공급망 보안 위협에 대응할 안전한 미래를 기대해봅니다.

💡 ‘소프트웨어 공급망 보안 가이드라인 v1.0’은 링크에서 만나보세요💡