오픈소스 시대, 커지는 보안 위협

[아이뉴스24 성지은 기자] 대부분의 상용 애플리케이션에 오픈소스가 활용되고 있다. 말 그대로 오픈소스 시대다. 그러나 이에 따른 보안 위협도 커지고 있다.

보안 취약점이 수년째 방치되고 있어 이를 제대로 관리하지 않으면 심각한 보안 위협에 직면할 수 있다는 경고도 커지고 있다.

22일 글로벌 오픈소스 보안·관리 전문기업 블랙덕소프트웨어(이하 블랙덕)는 최근 발표한 '2018 오픈소스 보안과 리스크 분석 보고서'에 이같이 지적했다.

블랙덕은 지난해 상용 코드베이스(애플리케이션을 만드는 데 사용되는 소스코드 조합) 1천100여개를 분석했다.

보고서에 따르면, 블랙덕이 지난해 감사한 애플리케이션의 96%가 오픈소스 컴포넌트(구성요소)를 포함한 것으로 나타났다. 대부분의 애플리케이션이 오픈소스를 사용하고 있다는 의미다.

오픈소스는 소프트웨어(SW)의 설계도에 해당하는 소스코드가 공개돼 누구나 자유롭게 사용·복제·수정·재배포할 수 있다. 소스코드를 무료 사용할 수 있고, 공개된 소스코드를 활용하면 SW 개발 시간을 줄일 수 있어 사용이 늘고 있다. 특히 인공지능(AI), 클라우드 등 최근 각광받는 IT 분야에서 활용이 높다.

그러나 오픈소스 활용이 빠르게 확대되는 반면 보안 관리는 제대로 되지 않아 위협도 덩달아 커지고 있다. 보고서에 따르면, 코드베이스 78%는 적어도 하나 이상의 보안 취약점을 갖고 있는 것으로 조사됐다. 또 각 코드베이스 당 발견된 보안 취약점은 평균 64개로 조사됐다.

더욱이 발견된 취약점의 절반 이상(54%)은 고위험 취약점이다. 또 코드베이스 17%는 이미 오래전 발견된 암호화통신(SSL) 보안취약점 '하트블리드', '푸들' 등을 보완하지 않은 것으로 조사됐다.

이 같은 보안 취약점은 해킹 등에 악용될 수 있다. 그런데도 보안 취약점이 수정되지 않은 채 평균 6년 이상 공개적으로 노출돼 해커들의 먹잇감이 되고 있다. 2011년에 발견된 오픈소스 보안 취약점이 지난해까지 수정되지 않은 채 발견됐다는 얘기다.

지난해 새롭게 발견된 오픈소스 컴포넌트 보안 취약점은 4천800개로 하루에 13개씩 새로운 보안 취약점이 나오고 있다. 지난 2016년 발견된 오픈소스 컴포넌트 보안 취약점이 3천623개였다는 점을 감안하면 빠른 증가세다. 그만큼 오픈소스 보안 취약점 관리가 시급한 상황이다.

블랙덕은 "오픈소스 보안과 라이선스를 제대로 관리해야 이점을 얻을 수 있다"며 "개발 단계에서 소스코드 취약점을 점검하는 '정적분석도구(SAST)' 등이 필수"라고 설명했다.

한편, 블랙덕은 지난해 시놉시스에 인수됐다. 이번 보고서는 시놉시스가 블랙덕을 인수한 이후 처음으로 발행됐다.