Software Provenance 소프트웨어 출처 정보

소프트웨어 출처 정보는 프로그램 산출물이 어디에서 어떤 입력과 빌드 과정을 거쳐 만들어졌는지 확인할 수 있도록 기록한 정보입니다.

소스 저장소, 빌드 주체와 사용한 입력을 산출물과 연결해 추적하는 데 사용합니다. 어떤 정보를 담고 어느 수준으로 신뢰할 수 있는지는 작성 형식과 생성 환경에 따라 다릅니다. 출처 정보를 보관하는 것과 소비자가 이를 검증하는 것은 별개의 단계입니다.

배포 파일이 승인한 소스와 빌드 환경에서 생성됐는지 산출물의 해시와 빌드 기록을 대조하는 예입니다. 출처 기록만 있고 실제 파일과 연결되지 않으면 다른 파일의 기록을 잘못 믿을 수 있습니다.

구성 명세와의 차이

소프트웨어 자재 명세는 구성 요소와 의존 관계를 설명합니다. 출처 정보는 어떤 과정으로 산출물이 만들어졌는지를 설명합니다. 서로 보완하지만 같은 기록은 아닙니다.

출처 정보와 증명

출처 정보는 기록 내용입니다. 산출물 증명은 그 내용을 특정 산출물 및 발행 주체와 연결하여 검증하는 형태로 전달할 수 있습니다. 서명 여부와 신뢰 정책을 따로 확인해야 합니다.

빌드와 배포의 공급망을 추적할 때 사용합니다. 신뢰하는 빌드 주체, 기대하는 입력과 산출물의 식별 방법을 정해야 합니다.

출처가 확인됐다고 취약점이 없거나 악성 변경이 전혀 없다는 뜻은 아닙니다. 생성 환경과 기록의 무결성을 함께 검증해야 합니다.

아래 공식 자료의 정의와 적용 범위를 바탕으로 작성했습니다. 예시는 개념을 설명하기 위한 상황이며 실제 작업 기록을 뜻하지 않습니다.

검토 기준일: 2026-10-26

SLSA: SLSA v1.2 Provenance

함께 이해할 용어: Artifact Attestation 소프트웨어 산출물 증명, SLSA 소프트웨어 공급망 보안 프레임워크, SBOM 소프트웨어 자재 명세서, Cryptographic hash function 암호학적 해시 함수, Digital signature 디지털 서명