루비 오픈 소스 생태계의 미래: 신뢰성, 보안, 지속 가능성 과제
Marty Haught — Sustained Open Source | Baltic Ruby 2025
작성자
Baltic Ruby
발행일
2025년 08월 30일
핵심 요약
- 1 RubyGems.org는 지난 10년간 무장애를 기록했으나, 예산 제약으로 인한 온콜 로테이션 축소, 공식 재해 복구 계획 부재 등 신뢰성 유지에 도전 과제를 안고 있습니다.
- 2 공급망 공격 위협 증가에 대응하여 RubyGems.org는 MFA, Sigstore, Trusted Publishing 등 보안 기능을 강화하고 있으나, EU의 Cyber Resilience Act(CRA)와 같은 규제와 낮은 보안 기능 채택률이 주요 우려 사항입니다.
- 3 방치된 고사용 Gem, 기여자 이탈, 불안정한 자금 모델 등으로 루비 오픈 소스 생태계의 지속 가능성이 위협받고 있으며, Ruby Central은 기업 후원 프로그램 등을 통해 해결책을 모색 중입니다.
도입
발표자는 Ruby Central의 오픈 소스 디렉터로서 Ruby 생태계의 핵심인 오픈 소스의 현재와 미래에 대한 깊은 통찰을 제공합니다. 2005년에 루비를 접한 이후 루비와 레일즈, 루비 젬스가 각각 30년, 20년 이상 된 성숙한 생태계로 발전했음을 강조합니다. 그러나 이러한 성장과 함께 공급망 공격, 의존성 증가, 규제 강화 등 새로운 도전 과제에 직면했다고 설명하며, 앞으로 20년을 더 나아가기 위한 신뢰성, 보안, 지속 가능성이라는 세 가지 핵심 질문을 던집니다. 특히 RubyGems.org의 운영을 중심으로 이러한 질문들을 심층적으로 탐구하며, 커뮤니티의 적극적인 참여와 지원의 중요성을 역설합니다.
RubyGems.org의 신뢰성 과제RubyGems.org는 2013년 이후 10년 넘게 주요 서비스 중단 없이 운영되어 왔으며, 2024년 5월에는 40억 건 이상의 젬 다운로드를 처리하는 등 뛰어난 성능을 보였습니다. 그러나 운영 예산의 제약으로 인해 2차 온콜 로테이션이 6월 이후 중단될 예정이며, 이는 비상 상황 발생 시 대응 시간을 지연시킬 수 있는 위험을 내포합니다. 또한, 공식적인 재해 복구(DR) 계획이 부재하며, 프로덕션 환경을 2013년 이후 재구축한 적이 없어 완전한 서비스 복구에 4~8시간 이상 소요될 수 있다는 우려가 있습니다. 발표자는 SLA(서비스 수준 협약) 수립, DR 계획 테스트, 읽기 전용 핫 스탠바이 구축 등의 개선 방안을 제안하지만, 이 역시 자금 확보가 필요한 상황입니다.### 보안 위협 및 대응공급망 공격은 현실적인 위협이며, 최근에도 악성 루비 젬이 업로드된 사례가 있습니다. RubyGems.org는 지난 12개월간 43개의 악성 젬을 제거했으나, 이는 게시 후 Mache Mensfeld와 같은 외부 기여자의 스캐닝을 통해 이루어지고 있어 악성 젬이 노출되는 시간적 공백이 발생합니다. 현재는 계정 탈취 방지를 위한 MFA 및 엄격한 권한 관리, Trusted Publishing, Sigstore 구현 등 보안 개선 노력이 진행 중입니다. 그러나 Sigstore 채택률은 상위 다운로드 젬의 5%에 불과하여, 새로운 보안 기능의 광범위한 채택이 가장 큰 과제로 지적됩니다. 2025년에는 사전 컴파일된 바이너리, 바이너리 투명성,
결론
발표자는 RubyGems.org와 루비 오픈 소스 생태계가 직면한 신뢰성, 보안, 지속 가능성 문제를 해결하기 위해 커뮤니티의 적극적인 참여와 지원이 필수적임을 강조합니다. 현재의 "최소한의 노력(just enough)"만으로는 미래의 도전 과제에 효과적으로 대응하기 어렵다고 지적하며, 더 강력하고 지속 가능한 생태계를 구축하기 위한 의도적인 노력과 자금 지원이 필요하다고 역설합니다. 루비 커뮤니티의 특별함과 강점을 바탕으로, 이러한 문제들을 함께 해결해 나간다면 앞으로 20년 후에도 루비가 현재와 같이 강력한 위치를 유지할 수 있을 것이라는 희망적인 메시지를 전달하며, 커뮤니티의 아이디어와 협력을 요청합니다.