용어와 정의
영문 또는 원어: SLSA
영문 정식명칭: Supply-chain Levels for Software Artifacts
한글명: 소프트웨어 공급망 보안 프레임워크
SLSA는 소프트웨어가 어떤 소스와 빌드 과정을 통해 만들어졌는지 추적하고 공급망의 보안 수준을 높이기 위한 프레임워크입니다. Supply-chain Levels for Software Artifacts의 약어이며 완성된 프로그램에 취약점이 없다는 인증을 뜻하지 않습니다.
정확한 의미와 원리
소스 관리와 빌드 환경 및 결과물의 출처에 관한 요구를 단계적으로 다룹니다. 빌드 출처 정보인 provenance는 누가 어떤 입력과 과정으로 결과물을 만들었는지 판단하는 근거가 됩니다. 정보가 존재한다는 사실과 그 내용을 신뢰할 수 있는 환경에서 검증했다는 것은 다릅니다.
쉽게 이해하는 사용 예시
배포 파일을 받을 때 원래 소스와 빌드 시스템에 연결된 기록을 확인하는 구성을 생각할 수 있습니다. 공격자가 중간에 결과물을 바꾸는 위험을 다루는 데 도움이 되지만 원래 소스의 논리 오류까지 자동으로 제거하지는 않습니다.
종류와 관련 개념의 차이
SLSA 1.2는 2025년 11월 승인된 규격으로 소스와 빌드 관련 트랙을 구분합니다. SBOM은 구성품 목록에 초점을 두고 SLSA는 소스와 생성 과정의 보증을 다룹니다. 전자서명은 기록을 검증하는 구성 요소가 될 수 있지만 서명만 있다고 모든 수준의 요건을 충족하지 않습니다.
적용 조건과 오해하기 쉬운 점
필요한 트랙과 수준, 출처 정보의 생성 주체와 검증 정책을 확인합니다. 조직이 실제로 충족한 범위만 설명하고 일부 메타데이터가 있다는 이유로 전체 공급망 보안이 완료됐다고 보고하지 않습니다. 과거 버전의 수준 설명을 현재 문서에 그대로 적용하지 않습니다.