오픈소스-공급망-보안

한 줄 요약: 오픈소스 보안과 공급망 보안은 후원금을 얼마나 모으느냐보다 권한, 리뷰, 배포 경로를 어떻게 나누느냐에 달려 있다. 돈은 프로젝트를 살릴 수 있지만, 통제권 설계가 없으면 위험을 빠르게 키운다. 왜 지금 이슈인가 오픈소스 후원은 대체로 좋은 일처럼 보인다. 유지보수자는 시간을 벌고, 사용자는 더 안정적인 소프트웨어를 기대한다. 문제는 후원이 단순한 결제 링크로 끝나지 않는다는 데 있다. 프로젝트 운영권, 릴리스 권한, 인프라 접근권과 쉽게 얽힌다. Yorick Peterse의 글은 제목 그대로 오픈소스 소프트웨어에 돈을 넣되 프로젝트를 망가뜨리지 않는 방법을 묻는다. 이 질문이 GitHub와 개발자 커뮤니티에서 반복되는 이유는 분명하다. 오픈소스는 이제 취미 코드 저장소에 머물지 않는다. 회사 제품, 리눅스 배포판, 패키지 저장소, 게임 엔진, 클라우드 인프라 안에 들어가 있다. ...

한 줄 요약: 오픈소스 공급망 보안은 외부 공격만의 문제가 아니다. GitHub 권한, 패키지 저장소 운영, 릴리스 경계를 사람 사이의 갈등까지 버티도록 나눠야 한다. 왜 지금 이슈인가 OpenMandriva 사건이 불편한 이유는 기술적으로 낯선 공격이라서가 아니다. 오히려 너무 흔한 운영 구조에서 벌어질 수 있는 일이라서 더 찜찜하다. 한 기여자가 사설 OneDev 인스턴스로 저장소를 옮기거나 미러링하자고 제안했고, 일부 팀원은 핵심 저장소가 개인 인프라에 묶이는 상황을 꺼렸다. 이후 내부 갈등과 이탈이 이어졌고, OpenMandriva 측은 남아 있던 관리자 권한으로 GitHub 저장소 일부가 삭제되고 Cooker 저장소에 빈 패키지가 배포됐다고 밝혔다. ...