다크 리딩이 전한 신규 이니셔티브는 지원 종료 오픈소스 패키지의 보안을 공동 관리하는 체계를 만들며, 전 세계 공공·민간 인프라의 장기적인 공급망 리스크를 정책 의제로 끌어올림
- Dark Reading은 여러 보안 기업과 오픈소스 커뮤니티가 힘을 합쳐 ‘End-of-Life Open Source Software Security Initiative’를 출범시켰다고 보도하며, Linux 배포판, OpenSSL, Apache Struts, Log4j처럼 광범위하게 사용되지만 공식 지원이 종료된 버전의 오픈소스 소프트웨어에 대해, 취약점 관리·패치 제공·사용 중단 가이드를 공동으로 제공하는 새로운 프레임워크를 만들겠다는 계획이라고 설명한다.
- 이 이니셔티브에는 GitHub, OpenSSF, Google, Microsoft, Red Hat 등 핵심 플레이어와 함께 Snyk, Sonatype, Checkmarx 같은 소프트웨어 공급망 보안 기업이 참여하여, GitHub Dependabot, Maven Central, npm Registry, PyPI 등 주요 저장소에서 EoL 패키지를 명확히 표시하고, 대체 버전과 마이그레이션 경로를 안내하는 방식으로, 개발자와 운영자가 ‘죽은 코드’를 장기간 방치하지 않도록 유도할 방침이다.
- Dark Reading은 수치적으로, 여러 조사에서 기업 애플리케이션의 70% 이상이 EoL 또는 지원이 불명확한 오픈소스 컴포넌트를 포함하고 있고, 2021년 Log4Shell과 같은 대형 취약점 이후에도 30% 이상 시스템이 패치되지 않은 채 운영된 사례를 인용하며, 이러한 현실이 국가 기반시설, 의료, 금융, 통신 분야에서 장기적인 보안 부채를 형성하고 있다고 지적한다.
- 새 이니셔티브는 단순 기술 프로젝트라기보다, 정부·규제기관이 공공 IT 입찰 요건과 보안 규정에 ‘EoL 오픈소스 사용 금지’ 또는 ‘대체 계획 제출 의무’를 포함하도록 유도하는 정책 도구로도 활용될 예정이며, 이는 미국 CISA의 Secure by Design 가이드라인, EU의 NIS2, Cyber Resilience Act와도 연동될 수 있어 국제 규범화 가능성이 크다.
- 한국 정부는 이 흐름을 활용해 공공기관과 국가 기반시설 운영사에 대해 사용 중인 오픈소스 컴포넌트의 EoL 여부를 정기적으로 점검·보고하게 하고, KISA·산업부·과기정통부 차원에서 국산 솔루션 벤더와 함께 EoL 오픈소스 대체·마이그레이션 지원 프로그램을 설계함으로써, 장기적으로 대형 공급망 취약점 사태를 예방하는 정책 기반을 마련할 수 있다.
EoL 오픈소스 보안 이니셔티브는 ‘지원이 끝난 코드’가 국가 인프라의 잠복 리스크라는 점을 공식 의제로 올린 것으로, 한국도 공공·민간 시스템에서 EoL 컴포넌트 식별과 교체를 의무화하는 정책 설계를 서둘러야 한다.
주요 용어: EoL(End-of-Life, 공식 지원이 종료된 소프트웨어 상태), OpenSSF(오픈소스 보안 강화를 위한 재단 및 협의체), Cyber Resilience Act(EU의 소프트웨어·하드웨어 보안 책임을 강화하는 법안)
출처: Dark Reading