Improving the Security of Containerized Workloads using Transparency and Traceability Services

인터넷을 모든 사람이 먹는 음식인 소프트웨어가 가득한 거대하고 북적이는 도시라고 상상해 보세요. 이 음식을 사람들에게 전달하기 위해, 요리사(개발자)들은 "컨테이너화된 워크로드"라고 불리는 디지털 요리를 만들어내는 자동화된 조립 라인인 CI/CD 파이프라인을 사용합니다. 이 요리들은 "이미지"라고 불리는 디지털 상자에 담겨, "레지스트리"라는 거대한 디지털 창고에 저장된 후, 거대한 클라우드 키친부터 작은 길거리 음식 카트(엣지 환경)에 이르기까지 전 세계의 레스토랑으로 배송됩니다. 문제는 만약 사보타주(파괴 공작)범이 조립 라인에 몰래 침입하여 건강한 식사를 독이 든 식사로 바꿔치기한다면, 조립 라인이 너무 빠르고 자동화되어 있기 때문에 아무도 알아차리기 전에 수천 명의 고객에게 독이 배달될 수 있다는 점입니다. 이것이 바로 소프트웨어 공급망 보안의 세계입니다. 즉, 디지털 음식을 변조, 도난, 악의적인 행위로부터 안전하게 지키기 위한 고도의 심리전입니다.

이를 막기 위해서는 두 가지 주요 도구가 필요합니다. 첫째, 우리는 **무결성(Integrity)**이 필요합니다. 이는 잼 병에 붙은 변조 방지 봉인과 같습니다. 봉인이 뜯겨 있거나 안의 내용물이 바뀌었다면 즉시 알 수 있습니다. 둘째, 우리는 **투명성(Transparency)**이 필요합니다. 이는 매번 병이 봉인될 때마다 사건이 지워지지 않는 잉크로 기록되는 공개적이고 지울 수 없는 일기와 같습니다. 누군가 독이 든 병을 봉인하려고 시도한다면, 그 일지는 이를 보여줄 것이며, 대중은 일지를 확인하여 봉인이 기록과 일치하는지 확인할 수 있습니다. 이 두 가지가 없다면, 해커가 요리사의 열쇠를 훔쳐서 "유효한" 봉인을 찍어 독이 든 병을 봉인하더라도 아무도 차이를 알지 못할 것입니다.

이 논문은 바로 그 문제를 해결하기 위한 영리하고 새로운 시스템을 소개합니다. 저자들인 보안 연구팀은 이 디지털 음식 상자를 위한 매우 안전하고 자동화된 공증인 역할을 하는 "투명성 서비스(Transparency Service)"를 제 제안합니다. 조립 라인이 영구적인 마스터 키를 보유하게 하는 대신(이를 도난당하면 재앙이 됩니다), 이 시스템은 요리를 만들 때마다 완전히 새로운 일회용 키를 생성합니다. 그런 다음 즉시 요리를 봉인하고, 이 이벤트를 공개적이고 지울 수 없는 일지(투명성 레지스트리)에 기록한 뒤 키를 버립니다. 요리가 레스토랑에 도착했을 때, 매니저는 단순히 봉인만 확인하는 것이 아니라, 봉인이 실제로 기록되었는지, 그리고 서명한 요리사가 그럴 권한이 있는 사람인지도 함께 확인합니다.

연구진은 이 시스템의 작동하는 프로토타입을 구축하여 GitHub Actions 및 GitLab과 같은 인기 있는 코딩 도구들과 연결했습니다. 그들은 해커가 키를 훔치거나 나쁜 코드를 몰래 집어넣으려는 현실적인 시나리오를 대상으로 테스트를 진행했습니다. 시뮬레이션 결과, 이 접근 방식은 승인되지 않은 사용자의 자격 증명을 도용하려는 경우와 같이 악성 소프트웨어를 배포하려는 공격을 효과적으로 차단하는 것으로 나타났습니다. 그러나 만약 해커가 권한이 있는 개발자의 자격 증명을 훔친다면, 서명과 신원이 유효해 보이기 때문에 시스템이 처음에는 악성 소프트웨어를 통과시킬 수도 있습니다. 이 특정 시나리오에서 시스템의 강점은 이러한 오용을 빠르게 감지하는 능력에 있습니다. 모든 서명 이벤트가 공개 일지에 기록되기 때문에, "모니터(감시자)"가 의심스러운 활동을 포착하여 조직에 알릴 수 있습니다. 이를 통해 광범한 피해가 발생하기 전에 악성 소프트웨어를 차단하고 탈취된 자격 증명을 무효화할 수 있지만, 이 감지의 속도는 일지를 얼마나 자주 확인하느냐에 달려 있습니다.

디지털 주방 이야기

이것이 어떻게 작동하는지, 고도로 자동화된 주방의 비유를 사용하여 자세히 살펴보겠습니다.

문제점: 마스터 키의 함정
옛날 방식에서는 모든 요리사가 정문으로 통하는 튼 heavy-duty 마스터 키를 가지고 있는 레스토 even 체인을 상상해 보세요. 만약 도둑이 그 키를 훔친다면, 그들은 침입하여 독이 든 스튜를 요리하고 메뉴에 올릴 수 있습니다. 그 키가 "진짜"였기 때문에, 문 앞의 보안 요원은 그 스튜를 통과시켜 줄 것입니다. 디지털 세상에서도 해커가 개발자의 비밀번호나 서버의 비밀 키를 훔칠 때 이런 일이 발생합니다. 그들은 도난당한 키를 사용하여 악성 소프트웨어 업데이트에 서명할 수 있고, 서명이 유효해 보이기 때문에 그 소프트웨어가 수백만 대의 컴퓨터에 설치됩니다.

해결책: 일회용 티켓
이 논문의 저자들은 "더 이상의 마스터 키는 없다!"라고 말합니다. 대신, 그들은 요리사가 키를 전혀 소유하지 않는 시스템을 제안합니다. 새로운 프로세스는 다음과 같습니다:

1. 주문: 요리사(개발자)가 새로운 요리(컨테이너 이미지 빌드)를 만들고 싶어 합니다. 그들은 레시피를 특별하고 매우 안전한 "공증 기계(Transparency Service)"로 보냅니다.
2. 일회용 키: 공증 기계는 요리사의 ID를 확인합니다. 요리사가 요리할 권한이 있다면, 기계는 이 특정 요리만을 위한 완전히 새로운 일회용 키를 즉시 생성합니다. 기계는 이 키로 요리를 서명한 후 즉시 키를 파기합니다. 펑! 사라집니다.
3. 공개 일지: 공증 기계는 거대하고 공개적이며 지울 수 없는 일지(Transparency Registry)에 노트를 작성합니다. 노트에는 "오후 2:00에 요리사 Alice가 키 X를 사용하여 요리 #123에 서명함"이라고 적힙니다. 이 일지는 블록체인이나 공개 장부와 같아서, 한 페이지가 작성되면 내용을 지우거나 수정할 수 없습니다.
4. 영수증: 기계는 서명, 요리사의 이름, 그리고 "포함 증명(Proof of Inclusion)"이 포함된 영수증을 요리사에게 줍니다. 이 증명은 "네, 나는 이 항목이 실제로 일지에 포함되어 있음을 증명할 수 있다"라고 말하는 수학적 영수증과 같습니다.

체크포인트: 보안 요원
이제 요리가 레스토랑(클라우드 서버와 같은 배포 사이트)에 도착합니다. 보안 요원(정책 엔진)은 단순히 서명만 확인하지 않습니다. 그들은 세 단계의 검사를 수행합니다:

1. 봉인이 진짜인가? 그들은 서명이 요리와 일치하는지 확인합니다.
2. 요리사가 허가되었는가? 그들은 요리사의 이름을 권한이 있는 직원 목록과 대조합니다.
3. 일지에 기록되어 있는가? 이것이 마법 같은 부분입니다. 그들은 "포함 증명"을 가져가서 해당 이벤트가 실제로 발생했는지 공개 일지를 통해 확인합니다. 만약 요리가 일지에 없거나, 일지의 항목이 요리와 일치하지 않으면, 보안 요원은 그것을 폐기합니다.

왜 이것이 게임 체인저인가
이 논문은 이 시스템을 깨뜨리기가 매우 어렵다는 것을 보여줍니다. 해커가 요리사의 비밀번호를 훔쳐 공증 기계를 속이고 독이 든 요리에 서명하려고 하더라도, 시스템에는 두 가지 안전장치가 있습니다:

• 일회용 키: 키가 즉시 파기되기 때문에, 해커는 이를 다시 사용하여 더 많은 독 요리에 서명할 수 없습니다.
• 공개 일지: 만약 해커가 유효한 서명을 얻어낸다면(예를 들어, 권한이 있는 요리사의 로그인을 훔치는 경우), 해당 이벤트는 공개 일지에 기록됩니다. "모니터(감시자)"가 24시간 내내 일지를 감시합니다. 만약 요리사가 해서는 안 될 요리에 서명하는 것과 같은 의심스러운 항목을 발견하면, 모니터는 레스토랑에 알릴 수 있습니다. 그러면 레스토랑은 광범위한 피해가 발생하기 전에 해당 요리를 차단할 수 있습니다. 다만, 이 알림의 속도는 모니터가 일지를 얼마나 자주 확인하느냐에 따라 달라집니다. 즉, 서명 이벤트와 감지 사이에는 시간 차이가 존재합니다.

트레이드-오프: 잉크가 마르기를 기다리는 시간
논문은 또한 작은 주의사항을 언급합니다. 공개 일지는 매우 안전하기 때문에 새로운 항목을 작성하는 데 약간의 시간이 걸립니다. 현실 세계에서 새로운 항목이 일지에 나타나기까지 약 12분이 걸릴 수 있습니다. 이는 요리가 서명되었지만 아직 일지에 보이지 않는 아주 짧은 시간 창이 존재함을 의미합니다. 저자들은 레스토랑이 서명이 생성된 후 몇 분간 기다리는 "냉각 기간(cooling-off period)"을 설정할 수 있다고 제안합니다. 이는 요리가 제공되기 전에 일지 항목이 확실히 확정되도록 보장합니다.

핵심 요약
이 논문은 단순히 이론을 제안하는 데 그치지 않고, 작동하는 버전을 직접 구축하여 테스트했습니다. 저자들은 일회용 키, 공개 일지, 그리고 엄격한 규칙을 결합함으로써 해커가 소프트웨어 공급망을 오염시키려는 대부분의 일반적인 방법을 차단할 수 있다는 것을 발견했습니다. 이는 마치 모든 식사가 추적되고, 모든 요리사가 검증되며, 모든 변조 시도가 누구나 읽을 수 있는 책에 기록되는 요새로 디지털 주방을 바꾸는 것과 같습니다. 비록 약간의 복잡성과 짧은 대기 시간이 추가되지만, 당신의 디지털 음식이 안전하다는 확신을 얻는 가치는 그보다 훨씬 큽니다.