GitHub, npm 보안 개편…공급망 공격 차단에 나서다

GitHub가 npm 보안 체계를 손보면서, 오픈소스 패키지 저장소가 사이버공격의 첫 관문이 되는 문제를 정면으로 다루기 시작했다.

• GitHub는 npm security changes를 발표해 공급망 공격을 줄이려 하고 있다. GitHub, npm, supply-chain attacks가 연결된 이번 조치는 오픈소스 생태계의 편의성과 배포 속도가 공격자에게도 동일한 이점을 준다는 사실을 반영하며, 저장소 보안이 곧 국가 디지털 안전과 연결된다는 점을 보여준다.
• 패키지 관리자는 소프트웨어 배포의 중심이기 때문에, 계정 탈취나 악성 버전 업로드가 발생하면 하위 수천 개 서비스로 피해가 확산된다. 따라서 이번 조치는 개발자 인증 강화, 패키지 검증, 서명 체계 확대를 통해 공격 전파를 줄이려는 것으로 해석되며, 한국 공공 SW 조달과 오픈소스 사용 정책에도 직접적인 기준이 된다.
• 정량적으로 핵심은 npm이라는 대규모 생태계 자체가 통제 대상이 되었다는 점이다. 규모가 큰 플랫폼일수록 한 번의 침해가 연쇄 피해로 번지므로, 정부는 취약 패키지 목록, 서명 의무, 빌드 재현성 요구를 제도에 포함시켜야 한다.
• 전략적으로 이는 GitHub가 단순 코드 호스팅이 아니라 소프트웨어 공급망 관리자로 진화하고 있음을 의미한다. 한국은 공공기관과 협력업체가 사용하는 패키지에 대해 출처 증명, 버전 고정, 사전 검증을 의무화하는 방향으로 정책을 보강할 필요가 있다.

오픈소스는 공공재이지만, 공급망은 무방비가 되어서는 안 된다. 한국은 주요 패키지의 서명·검증·추적을 공공 조달 기준에 포함해야 한다.

주요 용어: npm(자바스크립트 패키지 저장소), 공급망 공격(개발·배포 경로를 노린 침투), 서명 체계(파일 무결성을 증명하는 검증 방법)

출처: BleepingComputer