SBOM 무결성 보장을 위한 DSASI(Digital Signing Architecture for SBOM Integrity) 모델

국문 초록 (Abstract)

2021년 5월 미국 바이든 행정부의 ‘국가의 사이버보안 향상에 대한 행정명령(EO 14028)’의 발표로 인해 소프트웨어 공급망 보안이 강조되면서, SBOM 제출의 의무화가 새로운 규제 기준으로 자리잡게 되었다. 이로인해 SBOM의 채택과 활용이 증가하였으며, SBOM이 소프트웨어 공급망의 보안을 향상시키는 중요한 도구로 인식되었다. SBOM은 각 구성 요소의 출처, 버전 정보, 라이선스 등 중요한 데이터를 명시함으로써 복잡하고 동적인 소프트웨어 공급망을 효과적으로 관리할 수 있는 기반을 제공하며, SBOM의 효율성은 SBOM 자체의 무결성 검증에 달려 있다. SBOM 자체에 대한 무결성을 검증하지 못하면 소프트웨어 공급망 보안에 부정적인 영향을 미칠 수 있다. 이를 위해 본 논문에서는 SBOM 무결성 검증에 대해 설명하며, 이를 기반으로 SBOM의 무결성을 보장하기 위한 DSASI(Digital Signing Architecture for SBOM Integrity) 모델을 제안하고자 한다.

목차 (Table of Contents)

• 1. 서론 1
• 2. SBOM 소개 3
• 2.1 SBOM 정의 3
• 2.2 SBOM 데이터 형식 5
• 2.3 SBOM 유형 9
• 2.4 SBOM 무결성 검증 필요성 13
• 3. SW 무결성 검증 기술 및 프레임워크 15
• 3.1 디지털 서명과 코드 서명 15
• 3.1.1 코드 서명 아키텍처 17
• 3.2 Sigstore 18
• 3.3 Binary Authorization 20
• 4. DSASI(Digital Signing Architecture for SBOM Integrity) 22
• 4.1 사용자 신원 인증 단계 24
• 4.2 SBOM 생성 단계 26
• 4.3 디지털 서명 단계 29
• 5. 결론 31
• 참고문헌 33