오픈소스 소프트웨어의 신뢰성에 대한 근본적인 질문을 던지는 '트러스팅 트러스트(Trusting-Trust)' 공격이 새로운 형태로 진화했습니다. 기존에는 악성 컴파일러를 통해 소스 코드 검토를 우회하는 방식으로 알려졌으나, 최근 연구를 통해 'GNU 스트립(strip)'이라는 빌드 후처리 유틸리티를 통해서도 리눅스 배포판 전체를 감염시킬 수 있음이 실증되었습니다. 이는 소스 코드를 아무리 꼼꼼히 검토해도 발견하기 어려운 은밀한 공격 방식으로, 오픈소스 생태계 전반에 걸쳐 심각한 보안 위협을 제기합니다.
이번 공격은 소스 코드를 직접 검사하거나 수정하지 않고, 이미 완성된 실행 파일(ELF 파일)을 변환하는 방식으로 이루어집니다. 연구진은 초기 NixOS 부트스트랩(bootstrap) 시드에 변조된 스트립(strip) 유틸리티를 삽입하는 실험을 진행했습니다. 그 결과, 이 악성 스트립이 깨끗한 소스로 다시 빌드된 다음 세대 스트립마저 감염시키고, 이후 빌드 과정에서 처리되는 거의 모든 바이너리(binary)에 백도어(backdoor)를 삽입하는 데 성공했습니다. 심지어 악성 시드가 시스템 의존성 클로저에서 사라진 뒤에도 최종 표준 환경에 페이로드(payload)가 남아 감염이 지속되는 것을 확인했습니다. 이는 컴파일을 수행하지 않는 후처리 유틸리티로 실제 운영용 리눅스 배포판의 부트스트랩 전체에 자기 전파형 트러스팅 트러스트 공격을 성공시킨 최초의 사례로 기록됩니다.
이 연구는 '리누스의 법칙(Linus's Law)'으로 대표되는 오픈소스의 신뢰 모델에 대한 재평가를 요구합니다. 즉, '충분히 많은 눈이 있으면 모든 버그는 얕다'는 믿음이 소스 코드 검토만으로는 한계가 있음을 보여줍니다. 실행 파일을 조작하는 빌드 후처리 유틸리티가 공격의 매개가 될 수 있다는 점은, 소프트웨어 공급망(supply chain) 전반에 걸쳐 신뢰할 수 있는 빌드 환경(reproducible build) 구축의 중요성을 더욱 부각시킵니다. 앞으로는 소스 코드뿐만 아니라 빌드 도구와 과정 전체에 대한 철저한 검증과 투명성 확보가 필수적이며, 이는 오픈소스 생태계의 장기적인 보안과 안정성을 위해 해결해야 할 중요한 과제입니다.