XZ 백도어 이후, 오픈소스 보안 어떻게 해야 하나

핵심 인프라 프로젝트가 무급 1인 메인테이너에 의존하는 구조가 문제입니다. OpenSSF, GitHub Sponsors 같은 프로그램으로 메인테이너를 지원해야 합니다.

SBOM 의무화가 확대되면 최소한 "뭘 쓰고 있는지"는 파악할 수 있게 됩니다. 근본 해결은 아니지만 첫걸음이죠.

Sigstore로 패키지에 서명하는 것도 중요합니다. npm provenance가 이미 도입됐고, 더 확산돼야 합니다.

결국 코드 리뷰를 더 철저히 하는 수밖에 없는데, 자원봉사자에게 그걸 기대하기 어렵다는 게 딜레마입니다.

기업들이 쓰는 오픈소스에 돈을 내야 합니다. 무료라고 쓰기만 하면 이런 일이 반복됩니다.