오픈소스가 가져오는 보안 혁신: 위험·노출·보안의 삼위일체

본 논문은 오픈소스(OSS)가 소프트웨어 시스템의 보안에 미치는 영향을 기술·분석한다. 서두에서 저자는 최근 전 세계적으로 OSS 채택이 급증하고 있음을 언급하며, 특히 리눅스와 그 위에서 동작하는 다양한 애플리케이션이 주목받고 있음을 지적한다. 이어서 보안 분야에서 “디자인은 비밀이 아니라 공개가 바람직하다”는 Kerckhoffs’s Principle을 소개하고, 이 원칙을 설계 단계뿐 아니라 구현 단계에도 적용해야 하는지를 논의한다. 논문은 보안, 노출, 위험이라는 세 가지 개념을 정의한다. 보안은 시스템에 존재하는 취약점과 그 심각도를 의미하고, 노출은 해당 취약점이 공격자에게 알려질 확률을 의미한다. 위험은 노출과 보안이 결합된 개념으로, 성공적인 공격이 발생했을 때 발생하는 손실을 포함한다. 이러한 정의를 통해 저자는 “오픈소스가 보안을 즉시 향상시키지는 않는다”는 점을 인정하면서도, “초기에는 노출이 증가한다”는 사실을 명시한다. 이는 소스 코드가 공개되면 공격자가 버그를 더 쉽게 탐색할 수 있기 때문이다. 다음으로 폐쇄형 소스에 대한 전통적인 방어 논리를 검토한다. 폐쇄 소스는 공격자에게 정보를 차단함으로써 노출을 낮출 수 있다는 주장이다. 그러나 저자는 (1) 디버거·디스어셈블러와 같은 도구를 이용하면 소스 없이도 취약점을 빠르게 찾아낼 수 있다는 점, (2) 폐쇄 소스는 패치가 늦어지거나 전혀 제공되지 않을 경우가 많아 실제 위험이 장기적으로 증가한다는 점을 들어 반박한다. 또한, 폐쇄형 프로젝트는 품질 관리가 미흡한 경우가 많아 코드 자체가 낮은 품질을 가질 가능성이 높다. 반면 오픈소스의 장점을 다각도로 제시한다. 첫째, 다수의 독립적인 연구자와 개발자가 소스 코드를 검토함으로써 버그 발견 속도가 빨라진다. 이는 “Linus’s Law”(많은 눈이 버그를 찾는다)와 일치한다. 둘째, 발견된 버그는 중앙 저장소에 패치 형태로 공유되어 전체 사용자에게 빠르게 전파된다. 실제 연구에 따르면 오픈소스 패치 주기가 폐쇄형에 비해 거의 두 배 빠르다. 셋째, 오픈소스는 개발자 커뮤니티가 더 엄격한 코딩 표준과 자동화된 테스트 도구를 사용하도록 압박한다. 이는 코드 품질과 보안성을 동시에 향상시킨다. 넷째, 사용자는 필요 없는 모듈을 제거하거나 자체 보안 기능을 추가함으로써 시스템 복잡성을 낮추고 공격 표면을 축소할 수 있다. 논문은 또한 오픈소스가 보안 평가를 독립적인 제3자에게 맡길 수 있는 기반을 제공한다는 점을 강조한다. 설계가 공개된 경우, Common Criteria와 같은 국제 표준에 따라 평가가 가능하지만, 이는 비용이 많이 들고 특정 환경에만 적용되는 한계가 있다. 반면 소스가 공개되면 사용자는 직접 혹은 신뢰할 수 있는 외부 전문가에게 보안 검증을 의뢰할 수 있다. 결론부에서는 오픈소스가 초기에는 노출을 증가시켜 위험을 일시적으로 높일 수 있지만, 공개된 정보가 모두에게 공유됨으로써 실제 위험을 정확히 측정하고 감소시킬 수 있다고 주장한다. 따라서 장기적으로는 시스템 보안이 크게 향상된다. 저자는 “오픈소스는 보안을 위한 필수 조건이며, 그 혜택이 단기적인 노출 증가보다 훨씬 크다”고 결론짓는다.