서명은 내용의 진실을 보증하는 도장이 아닙니다

전자서명은 신뢰하는 키와 검증 조건이 맞을 때 자료의 출처와 변경 여부를 확인하는 데 도움이 됩니다. 서명이 유효하다고 프로그램의 모든 동작이 안전하다는 뜻은 아닙니다.

누가 서명했는지와 그 키를 왜 신뢰하는지까지 확인해야 합니다. 파일을 받은 경로와 검증 대상도 맞아야 합니다.

SBOM은 재료 목록에 가깝습니다

어떤 구성 요소를 사용하는지 알아야 알려진 취약점과 영향을 대조할 수 있습니다. 하지만 목록이 있다는 사실만으로 문제가 없다는 결론을 내릴 수는 없습니다.

같은 제품이라도 버전과 배포 형태가 다르면 구성 요소가 달라질 수 있습니다. 현재 받은 파일과 연결된 목록인지 먼저 확인합니다.

VEX는 특정 취약점이 제품에 영향을 미치는지 설명합니다. SLSA의 출처 증거는 어떤 소스와 빌드 과정에서 결과물이 만들어졌는지 확인하는 데 쓰입니다.

영향이 없다는 주장도 조건과 근거를 읽어야 합니다. 출처를 확인했다고 취약점 검사를 대신할 수 있는 것도 아닙니다.

프로그램 이름과 버전, 구성 목록과 출처 증거가 같은 대상을 가리키는지 확인하는 것이 출발점입니다. 이후 실제 사용 권한과 업데이트 및 복구 방법도 검토해야 합니다.

관련 기술자료에서 증거별 확인 순서를 볼 수 있습니다. 이 글은 특정 제품에 대한 보안 인증이나 실제 고객의 침해사고 기록이 아닙니다.