보안 명목과 실제 상황의 불일치
Ruby Central은 보안 강화를 명목으로 RubyGems 관리자들을 GitHub 조직에서 제외했으나, 실제로는 André Arko에게 핵심 프로덕션 시스템 접근 권한을 남겨두는 모순을 보였습니다.
-
잔존하는 핵심 접근 권한: André Arko는 여전히 RubyGems.org 서비스의 프로덕션 데이터베이스 및 로그를 포함한 핵심 프로덕션 시스템에 접근할 수 있습니다. 이는 AWS 스크린샷을 통해 입증되었습니다.
-
GitHub 조직 소유권: André는 또한 Ruby Central GitHub 조직의 유일한 소유자 권한 보유자입니다.
보안 주장에 대한 의문 제기
저자는 Ruby Central의 통제권 확보가 보안상 필수적이라는 주장에 대해 다음과 같은 의문을 제기합니다.
-
코드 수정과 배포의 분리: 오픈 소스 코드 수정 권한이 자동으로 배포 권한을 의미하지 않으므로, 통제권 확보가 보안상 필수적이라는 주장은 설득력이 부족합니다.
-
간단한 배포 제어: RubyGems.org 서비스를 운영했던 관계자들에 따르면, 프로덕션 배포는 이미 수동이었고, Ruby Central에 고용되지 않은 관리자들이 새 코드를 배포하는 것을 막으려면 Shipit 설정을 업데이트하는 간단한 작업(약 30분 소요)으로 충분했습니다.
-
진정한 보안 위험: 오픈 소스 코드 접근은 보안 위험이 아니지만, 프로덕션 데이터베이스 접근은 심각한 보안 위험을 초래합니다.
Ruby Central의 의도에 대한 추측
저자는 이러한 상황에 대해 Ruby Central의 의도에 대한 여러 가능성을 제시합니다.
-
위협으로 인식하지 않음: Ruby Central이 André를 실제 위협으로 여기지 않았을 가능성.
-
무능력: 단순히 접근 권한 관리에 있어 무능했을 가능성.
-
복합적 요인: 위 두 가지 요인이 복합적으로 작용했을 가능성. André는 자신의 접근 권한을 Ruby Central에 공개했으며, 현재 그들의 답변을 기다리고 있습니다.