오픈소스 소프트웨어(OSS)란? 개념과 보안 사고, 관리 방법

정보통신산업진흥원(NIPA)의 ‘2022 오픈소스SW(OSS) 실태조사 보고서’에 따르면 국내 기업 10개 중 6-7개가 오픈소스 소프트웨어를 도입했다고 합니다. 오픈소스 활용률은 2020년 68.8% → 2021년 61.5% → 2022년 67.3%로 지속적으로 증가해 오픈소스 소프트웨어의 중요도가 높아지고 있는데요. 오늘은 오픈소스 소프트웨어(OSS)란 무엇인지 살펴보겠습니다.

1. 오픈소스 소프트웨어(OSS)가 뭐야?

오픈소스 소프트웨어는 Open Source Software로 줄여서 OSS로 부르기도 합니다. 한국정보통신협회의 정보통신용어사전에 따르면 오픈소스 소프트웨어(OSS)는 오픈소스 소프트웨어 라이선스에 따라 소스 코드가 공개되어 누구나 자유롭게 사용하고 수정하거나 재배포할 수 있는 소프트웨어입니다. 외부 개발자가 공동으로 협력에 참여할 수 있고, 무료로 상품 개발에 이용할 수 있어요. 즉, 오픈소스 소프트웨어 생태계는 신뢰를 바탕으로 이루어졌다고 해도 과언이 아닙니다.

OSS 사용을 장려하기 위해 만들어진 오픈 소스 이니셔티브(OSI)는 오픈소스 소프트웨어를 감독해 지속적으로 발전할 수 있도록 참여자들이 지켜야 하는 기준을 오픈 소스 정의(OSD)로 정의했어요. OSD에 따르면 오픈소스 소프트웨어는 수정 및 재배포에 제약이 없어야 하며, 소스코드는 개발자가 수정이 가능한 형태여야 합니다.

2. 뜨거운 감자가 된 오픈소스 보안 사고

오픈소스의 모든 사용은 무료지만 수정한 소스 코드의 공개 여부와 범위는 해당 소프트웨어의 라이선스마다 달라요. 수정한 코드를 반드시 공개해야 하는 경우도 있고, 그렇지 않은 경우도 있습니다. 따라서 사용자는 오픈소스 소프트웨어를 사용하기 전에 반드시 해당 라이선스를 숙지해야 해요.

뿐만 아니라 매년 약 3,000건 이상의 보안 취약점이 오픈소스 소프트웨어에서 발견되고 있어요. 특히 최근 오픈소스 개발자를 겨냥한 사회공학적 공격인 XZ유틸즈 백도어(CVE-2024-3094)가 발생하며 더욱 주의가 요구되고 있습니다.

XZ유틸즈 백도어(CVE-2024-3094)는 오픈소스 커뮤니티에 참여해 신뢰를 획득한 후 관리자 권한을 얻어 백도어를 숨기는 형태의 사이버 공격이에요. XZ유틸즈가 리눅스에서 데이터의 압축·해제를 위해 널리 사용되는 유틸리티인 탓에 오픈소스 생태계에서는 충격이 매우 컸죠.

오픈소스 웹 애플리케이션 보안 프로젝트인 OWASP는 10대 OSS 위험 등 사이버 보안 실무자를 위한 추가 리소스 및 지침을 발표하기도 했습니다. 자세한 내용이 알고싶으시다면? OWASP Top 10: 더 나은 오픈소스 보안을 위한 가이드를 확인해보세요.

🔎 OWASP Top 10: 더 나은 오픈소스 보안을 위한 가이드 : https://blog.naver.com/sparrowast/223434158647

3. Sparrow SCA로 오픈소스 소프트웨어를 빈틈없이 관리하세요

사용 중인 오픈소스 소프트웨어가 정말로 안전한지, 그리고 지적재산권으로 보호받고 있는 오픈소스 소프트웨어 라이선스를 제대로 파악하고 있는지에 대한 점검의 필요성이 커지고 있습니다.

Sparrow SCA는 오픈소스 관리 도구로 사용 중인 오픈 소스 라이선스 사용 현황을 식별하고, 오픈소스 소프트웨어 보안취약점을 진단합니다. 또한 의존성 파일 분석부터 코드 스니펫 분석까지 다양한 형태의 오픈소스 소프트웨어 분석을 지원해요. 뿐만 아니라 국제 표준인 SPDX 및 CycloneDX, SWID tag의 형식을 사용해 상세한 소프트웨어 구성 컴포넌트 정보를 포함한 SBOM(소프트웨어 자재명세서)을 생성합니다. Sparrow SCA가 안전한 오픈소스 활용을 위한 여러분의 파트너가 되겠습니다!

[참고문헌]
1.기업 10곳 중 7곳, 오픈소스 SW 쓴다 / 전자신문 / https://www.etnews.com/20230326000030
2. 오픈소스 소프트웨어, 公開-, Open Source Software, OSS / 한국정보통신기술협회 / https://terms.tta.or.kr/dictionary/dictionaryView.do?word_seq=051008-9
3. [오픈소스 관리②] 오픈소스 취약점 매년 3000개 이상 / 데이터넷 / https://www.datanet.co.kr/news/articleView.html?idxno=121499
4. 오픈소스의 위기…사회공학적 공격으로 신뢰 ‘흔들’ / IT비즈뉴스 / https://www.itbiznews.com/news/articleView.html?idxno=131963