Hidden Amplifiers: Cross-Level Risk in Software Supply Chains

기술 요약: 소프트웨어 공급망의 숨겨진 증폭기 및 교차 계층 리스크

문제 정의
현대 소프트웨어 공급망은 수백 개의 전이적 의존성(transitive dependencies)에 의존하고 있으나, 현재의 분석 도구들은 서로 격리되어 작동한다. 생태계 수준의 도구(예: Snyk, Dependabot)는 코드 내부를 검사하지 않은 채 의존성 그래프만을 분석하며, 코드 수준의 도구(예: 정적 분석기)는 생태계 맥락을 고려하지 않은 채 패키지 내부만을 조사한다. 이러한 분리는 두 가지 결정적인 실패 모드를 초래한다:

1. 허위 양성(False-Positive) 과부하: SCA 도구는 소비 중인 애플리케이션에 의해 실행되지 않는 코드 경로의 취약성을 경고하여, 개발자들이 경고를 무시하고 실제 위협을 묻어버리게 만든다.
2. 숨겨진 증폭기(Hidden Amplifier)의 사각지대: 매우 단순한 코드 구조를 가졌으나 거대한 생태계 도달 범위를 가진 마이크로 의존성(예: 829,000개의 의존자를 가진 ms)은 막대한 구조적 리스크를 지닌다. 이들은 선행 CVE가 없고 코드가 단순하기 때문에, SCA 및 코드 품질 도구 모두에게 보이지 않는 상태로 남는다.

방법론: 교차 계층 리스크 프레임워크
저자들은 코드 수준의 메트릭과 생태계 수준의 노출도를 통합된 리스크 공식을 통해 연결하는 프레임워크를 제안한다. 방법론은 세 가지 계층으로 구성된다:

1. 생태계 분석 (계층 1): 패키지 $p$에 대한 생태계 노출도($\psi$)를 계산한다. 이는 deps.dev에서 추출한 팬-인(fan-in, 전이적 역의존성 수)으로 정의된다. 이 계층은 또한 트리aged를 위해 의존성 그래프를 헬스 인디케이터(OpenSSF Scorecard, libyears) 및 알려진 CVE로 풍부하게 한다.
2. 코드 분석 (계층 2): 패키지 내 각 메서드 $m$에 대한 코드 수준 리스크($\phi$)를 계산한다. 이는 다음으로부터 유도된다:
   • 순환 복잡도(Cyclomatic complexity, $c$)
   • 패키지 내부 호출 그래프에서의 매개 중심성(Betweenness centrality, $b$)
   • 폭발 반경(Blast radius, $r$, 전이적으로 도달 가능한 호출 대상)
   • Git 커밋 빈도에 기반한 시간적 변화 계수(Temporal churn factor, $\tau$)
   • 신뢰도 게이트(Confidence Gate): 시스템은 호출 그래프의 완전성을 정량화하기 위해 내부 해상도 비율($R$)을 계산하며, 높은 동적 디스패치($R < 0.85$)를 가진 패키지를 신뢰도가 낮은 것으로 플래그를 지정한다.
3. 교차 계층 합성 (계층 3): 두 차원을 단일 교차 계층 리스크(CLR) 점수로 결합하기 위해 곱셈 모델을 사용한다:
   $$CLR(m) = \phi(m) \cdot f(\psi(pkg(m)))$$
   여기서 $f$는 단조 감소 함수(기본값: $\log_{10}(x+1)$)로, 높은 팬-인을 가진 패키지가 순위를 완전히 지배하는 것을 방지하면서도 그들의 리스크를 증폭시킨다.

주요 기여

1. 통합 리스크 프레임워크: 메서드 수준의 코드 메트릭과 생태계 수준의 의존성 노출을 결합하여, 서로 다른 패키지 간의 메서드를 직접 비교할 수 있게 하는 수학적 모델을 제공한다.
2. 다계층 아키텍처: npm과 PyPI를 지원하는 16,000라인 규모의 오픈 소스 프로토타입으로 검증된 분해 가능한 분석 파이프라인을 제공한다.
3. "숨겨진 증폭기" 식별: 본 프레임워크는 50개 미만의 메서드와 50,000개 이상의 의존자를 가진 마이크로 의존성 클래스를 정의하고 탐지한다. 이 패키지들은 구조적으로 중요하지만 현재의 SCA 도구에는 보이지 않는다.

평가 결과
저자들은 고영향력 프레임워크와 마이크로 의존성을 포함한 50개의 패키지(npm 35개, PyPI 15개) 코퍼스로 프로토타입을 평가했다.

• 숨겨진 증폭기 탐지: 코퍼스의 24%(12개 패키지)가 숨겨진 증폭기 자격을 갖추었다. ms 패키지(2017년 ReDoS 취약점을 겪음)에 대한 사후 분석 결과, 본 프레임워크는 구조적 위치만으로 이를 고위험군으로 분류했을 것이나, 기존의 어떤 SCA 도구도 어드바이저리 발표 전에는 이를 수행하지 못했다.
• 우선순위 지정 정밀도: 알려진 CVE가 있는 10개의 루트 패키지에 대한 타당성 조사에서, 교차 계층 스코어링(CLR)과 코드 전용 스코어링(CR)은 팬-인 전용 스코어링(FI)보다 유의미하게 우수한 성능을 보였다. 구체적으로, CLR과 CR은 FI 대비 Precision@K를 약 두 배 높였다.
• 랭킹 안정성: 프레임워크는 단일 수준 도구에는 없는 교차 의존성 랭킹 능력을 제공한다. 코드 전용 도구는 패키지 내 메서드를 랭킹할 수는 있지만, 오직 CLR만이 저복잡도-고의존성 패키지의 메서드를 고복잡도-니치 패키지의 메서드와 비교하여 랭킹할 수 있다.
• 신뢰성: 분석된 패키지의 70%가 $\geq 0.85$의 내부 해상도 비율($R$)을 달성하여 높은 정적 분석 신뢰성을 입증했다. 시스템은 사용자가 신뢰도를 평가할 수 있도록 $R$을 투명하게 보고한다.

의의 및 주장
본 논문은 코드 품질 도구와 생태계 수준의 SCA 사이의 분리가 내재적 경계가 아닌 설계상의 한계라고 주장한다. 이 계층을 연결함으로써, 제안된 프레임워크는 다음과 같은 효과를 제공한다:

• 현재 툴링의 사각지대를 해결하는 공급망 보안의 새로운 설계 공간을 연다.
• 취약점이 공개되기 전에 구조적으로 중요한 마이크로 의존성을 식별하는 메커니즘을 제공한다.
• 코드 인지형 랭킹이 생태계 전용 접근 방식보다 취약점 우선순위 지정 정밀도를 실질적으로 향상시킨다는 것을 입증한다.

저자들은 현재 구현이 의존성 내부 도달 가능성에 집중하고 있으며, 전체 교차 패키지 호출 그래프 구성은 향후 과제로 남아 있다고 명시했다. 평가는 큐레이션된 코퍼스가 잘 관리된 패키지를 과대표할 수 있음을 인정하며 타당성 입증 데모로서 제시되었다.