[논문 리뷰] Challenges of Producing Software Bill Of Materials for Java

Musard Balliu, Benoît Baudry외 8명|arXiv (Cornell University)|2023. 03. 20.

Manufacturing Process and Optimization참고 문헌 11인용 수 5

한 줄 요약

이 논문은 자바 생태계에서 6종의 SBOM 도구를 평가하여 도구 간 의존성 탐지에 심각한 일관성 부족을 드러냈다. SBOM 정확성에 대한 핵심 과제로는 완전하지 않은 전이적 의존성 추적, 일관성 없는 도구 메타데이터, 제한된 런타임 강제 수단을 지목하며 소프트웨어 공급망을 보호하기 위해 표준화되고 신뢰할 수 있는 SBOM 생성이 필요하다고 강조한다.

ABSTRACT

Software bills of materials (SBOM) promise to become the backbone of software supply chain hardening. We deep-dive into 6 tools and the accuracy of the SBOMs they produce for complex open-source Java projects. Our novel insights reveal some hard challenges for the accurate production and usage of SBOMs.

연구 동기 및 목표

• 자바 생태계의 다수 도구에서 SBOM 생성의 정확성과 일관성을 평가하기 위해.
• 직접적 및 전이적 의존성, 빌드 도구 등을 포함한 완전하고 정확한 소프트웨어 공급망 구성 요소를 포괄적으로 캡처하는 데 있어 체계적인 과제를 규명하기 위해.
• SBOM을 활용한 자동화된 위협 분석 및 런타임 강제 수단의 가능성 평가를 위해.
• 해시, 외부 참조, 라이선스 메타데이터와 같은 핵심 SBOM 속성의 지원 여부를 검토하기 위해.
• 기업 소프트웨어 공급망에서 SBOM 표준 및 도구 품질 향상을 위한 실증적 근거를 제공하기 위해.

제안 방법

• 26개의 활성 오픈소스 자바 프로젝트에서 작동하는 6종의 성숙하고 유지보수 중인 SBOM 생성 도구를 평가하였다.
• 모든 도구를 동일한 프로젝트 세트에서 실행하여 동일한 조건에서 SBOM 출력을 비교하였다.
• 수작업 분석을 통해 도구 간 의존성 목록, 해시값, 메타데이터의 유효성과 상호 검증을 수행하였다.
• SBOM 표현 및 비교를 위한 공통 표준으로 CycloneDX 형식을 사용하였다.
• 직접적 및 전이적 의존성, 빌드 도구, 외부 참조를 포괄하는 SBOM의 완전성 분석을 수행하였다.
• 해시, 라이선스, 외부 참조와 같은 보안 핵심 속성의 지원 수준을 평가하였다.

실험 결과

연구 질문

• RQ1 동일한 자바 프로젝트에서 다양한 SBOM 생성 도구가 동일한 직접적 및 전이적 의존성 집합을 얼마나 일관되게 식별하는가?
• RQ2 SBOM 생성 도구가 애플리케이션 라이브러리 외에도 CI/CD 도구, 테스트 프레임워크 등 빌드 및 도구 의존성을 얼마나 잘 캡처하는가?
• RQ3 SBOM 생성 도구가 바이너리 의존성의 해시값과 버전 정보를 얼마나 정확하게 기록하는가?
• RQ4 의존성 및 도구에 대한 외부 참조 및 기원 메타데이터 측면에서 SBOM에 어떤 격차가 존재하는가?
• RQ5 자동화된 위협 모델링, 취약성 탐지 및 런타임 액세스 제어를 위한 SBOM 사용을 방해하는 과제는 무엇인가?

주요 결과

• 동일한 자바 프로젝트에 대해 서로 다른 SBOM 생성 도구가 상당히 다른 의존성 목록을 생성하여 현재 도구의 일관성과 신뢰성 부족을 시사한다.
• 많은 도구가 깊이 있는 네스트된 의존성 그래프에서 전이적 의존성을 정확히 캡처하지 못했다.
• 해시값이 일관되게 생성되지 않거나 누락되어 SBOM의 무결성과 재현 가능성에 악영향을 미쳤다.
• 빌드 및 도구 의존성(예: CI/CD 도구, 테스트 프레임워크)을 문서화하는 지원은 매우 낮고 도구 간 일관성이 떨어졌다.
• 소스 저장소 및 라이선스에 대한 외부 참조가 자주 부족하거나 누락되어 감사 및 준수 목적에서의 SBOM 활용도가 떨어졌다.
• 현재 SBOM가 데이터의 완전성과 정확성 부족으로 인해 자동화된 위협 분석 및 런타임 강제 수단에 부적합하다는 점이 드러났다.