개발자들! 깃허브 악성 프로젝트 조심!

언론사 : 보안 뉴스

뉴스 제목 : 깃허브에서 울린 악성 패키지 홍수 주의보, 개발자들의 주의 요망

게시일 : 2024-03-06

URL : https://m.boannews.com/html/detail.html?idx=127390

깃허브에서 울린 악성 패키지 홍수 주의보, 개발자들의 주의 요망

---

[ 기사 요약 ]

지난 몇 개월 동안 사이버 공격자들은 기존에 자 사용되던 인기 프로젝트와 교모하게 비슷한 이름의 악성 프로젝트를 코드 리포지터리에 등록하고 있다. 깃허브에는 자동 보안 장치들이 존재하기에 공격자들이 올리는 '비슷한 코드'들을 찾아내 제거하기는 하지만 전부는 아니다. 그렇기에 리포지터리의 코드를 즐겨 사용하는 개발자들로서는 잘못된 코드를 다운로드 받을 확률이 높아졌다.

깃허브는 리포지터리에 혼란을 가중시키려는 공격자들에게 있어 최적의 공격 표적이다. 깃허브는 개발자들의 프라이버시를 침해하지 않기 위해 개발자들이 올리는 리포지터리들을 들여다 보지 않고, 이미 공유되고 있는 리포지터리와 프로젝트의 숫자도 어마어마하기에 조금만 건드려도 큰 혼란이 야기될 수 있기 때문이다.

리포지터리에 혼란을 주는 공격 전략은 소프트웨어 패키지의 디펜던시를 혼란스럽게 하는 공격과 본질적으로 동일하다. 다만 리포지터리에 비슷한 코드를 대량으로 올리는 현재의 공격 기법에서 가장 중요한 건 '자동화 기술'이다. 인기 높은 패키지를 파악하고, 그 패키지를 가져다 비슷한 패키지를 만들고 이러한 과정들을 사람이 수동으로 하나하나 처리하려면 단 몇개월 사이에 10만 개의 프로젝트를 등록시키는 것은 불가능하다.

이러한 공격에 대한 방어에 있어서도 자동화 기술이 큰 비중을 차지한다. 깃허브도 이런 식으로 생성되고 등록되는 악성 패키지들을 확인하고 삭제하기 위해 자동화 기술을 활용한다. 그래서 대부분의 악성 패키지들은 등록 후 수시 간 내에 삭제된다. 하지만 등록되는 악성 패키지가 너무 많기에 놓치는 것이 단 1%라도 그 수가 수 천개에 달하며, 100% 방어가 되지 않는 이상 자동화 기술에만 의존할 수 없다.

 

[ 개인 의견 ]

기사 맨 마지막 부분에 러블랜드에서 '현재로서는 기술적으로 악성 코드를 저절로 걸러낼 방법은 없습니다. 개발자들이 정책에 따라, 그리고 보안의 안전 수칙에 따라 코드들을 검사하고 안전한 것들을 걸러내야 합니다.'라는 말이 있다. 100% 방어가 되지 않아 자동화 기술에만 의존할 수 없다면 자동화가 된 부분 외만 사람이 검사하면 되지 않을까?

사이버 공격자들은 기존에 잘 사용되던 인기 프로젝트와 교모하게 비슷한 이름으로 악성 프로젝트 이름을 짓는다고 하였다. 그러면 1차로 자동화 기술로 거르고, 나머지 중 인기있는 프로젝트들과 이름이 비슷한 프로젝트들을 사람이 검사하며 쳐내도 되는거 아닌가...? 물론 이것도 시간이 많이 드는 건 맞다. 단 1%라도 10만개면 수 천개가 되니깐 말이다.

하지만 이러한 고민을 하면서 프라이버시 침해를 하지 않기 위해 개발자들이 올리는 리포지터리들을 보지 않는다? 이건 이것도 잃기 싫고 저것도 잃기 싫고 이러한 모습인 듯 하다. 개발자들도 자신들의 프라이버시가 침해될까 걱정하고, 또한 깃허브 측에서 들여다보았다가 좋은 거 있으면 꿀꺽하고 안올려준다던지 그러한 리스크도 있지만 수많은 리포지터리의 코드를 즐겨 사용하는 개발자들을 보호하기 위해서라면 그러한 리스크를 감수하긴 해야할 듯 하다. 어떠한 이득이, 어떠한 리스크가 더 크고 작을지 잘 생각해서 행동하면 좋을 듯 하다.