Ruby Central, 커뮤니티 Q&A를 통해 거버넌스 및 보안 문제 해명

Ruby Central은 커뮤니티의 주요 우려 사항에 대해 다음과 같이 답변했습니다.

1. 소통 및 커뮤니티 참여

• 질문 답변 지연: 정확성 우선, 법적/보안 검토, 일관된 프로세스 구축 필요성으로 인해 지연되었습니다. 앞으로는 예측 가능한 소통 주기를 유지하고, 모든 질문은 주간 업데이트를 통해 공유될 것입니다.

• 라이브 Q&A: 월말 이전에 라이브 Q&A 세션을 개최할 예정이며, 질문 제출 양식은 모든 업데이트 상단에 명확히 표시됩니다.

2. 신뢰 회복 및 관리

• 책임: Ruby Central은 거버넌스, 접근 관리, 소통의 부족으로 인한 혼란과 좌절에 대한 조직적 책임을 인정했습니다.

• 신뢰 회복 노력: 투명성, 개방적인 기여 경로, 공유 인프라의 책임 있는 관리를 통해 신뢰를 재구축할 것입니다. 강화된 통제, 사고 보고서 공개, 일관된 소통을 약속했습니다.

3. 일정 및 결정 배경

• 접근 권한 변경: 연초부터 시작된 보안 개선 및 거버넌스 검토의 일환으로 진행되었습니다. 주요 인물 이탈 후 내부 시스템 통제권 회복을 위한 표준 절차였으며, 이사회는 스폰서의 영향 없이 독립적으로 결정했습니다.

4. 이사회 거버넌스 및 투명성

• 이사회 구성: 이사회는 법적 및 조직적 의무를 충족하기 위해 거버넌스, 재정, 운영 전문성을 가진 후보 중에서 선출됩니다.

• 회의록 공개: 비영리 단체로서 정기 회의록은 법적, 계약적, 인사 문제로 인해 공개하지 않으며, 대신 보고서와 커뮤니티 업데이트를 통해 투명성을 제공합니다.

5. 유지보수자 및 프로젝트 역할

• 유지보수: RubyGems와 Bundler는 커뮤니티 기여자 및 검증된 운영자 간의 협력을 통해 유지보수될 것입니다. 운영자 및 기여자 계약을 통해 책임과 접근 권한을 명확히 하고, 완료 후 유지보수자 목록을 공개할 예정입니다.

6. 스폰서십 및 재정 관계

• 재정 투명성: Ruby Central은 501(c)(3) 비영리 단체로, IRS 신고를 통해 자금 및 지출을 보고합니다. 스폰서십은 서비스 비용을 지원하지만, 거버넌스 권한이나 운영 통제권을 부여하지 않습니다.

• Shopify 관계: Shopify는 표준 자금 지원 계약을 통해 Ruby Central의 임무를 지원하는 기업 스폰서이며, 운영 통제권이나 거버넌스 권한을 가지지 않습니다.

7. 저장소 관리 및 소유권

• RubyGems 및 Bundler 관리: Ruby Central은 Ruby Together와의 합병 이후 RubyGems 및 Bundler를 관리해왔으며, 안전하고 지속 가능한 공급망 제공에 대한 책임과 함께 코드 및 Gem에 대한 권한을 가집니다.

• 접근 변경: 전체 공급망의 여러 구성 요소를 고려할 때, 접근 권한 변경은 가장 적은 혼란을 주면서 보안을 강화하는 방법이었습니다.

8. 공급망 보안

• 보안 강화: RubyGems.org에 대한 공격 증가 징후는 없지만, 인기 Gem 소유자의 MFA 의무화, 신뢰할 수 있는 게시(trusted publishing) 도입 등 보안 투자를 강화하고 있습니다.

• 향후 계획: 신뢰할 수 있는 게시 범위 확장, 자동 탐지 및 대응 기능 개선, 정기 보안 감사 등이 포함된 로드맵을 가지고 있습니다.

9. 코드 vs. 서비스: 역할 및 책임

• 구분: 코드 기여(Bundler, RubyGems)와 프로덕션 운영(RubyGems.org)은 별개임을 인정합니다. 그러나 Ruby Central은 보안 및 지속 가능성을 위해 인프라와 오픈소스 클라이언트 도구 모두에 대한 관리 책임을 가집니다.

1

1. 거버넌스 구조 및 기술적 역할

• 기술/비기술 거버넌스 분리: Ruby Central은 역할, 책임, 의사 결정 과정을 명확히 하기 위해 기술적 거버넌스와 비기술적 거버넌스를 적극적으로 분리하고 있습니다. 이사회는 재정 및 법적 책임을, 검증된 운영자 및 유지보수자는 기술 운영을 담당합니다.

1

1. 보안 위험 대응 및 완화

• 위험 완화: 모든 과거 자격 증명은 교체되었고 MFA로 보호됩니다. 위험은 통제 집중과 미회전 자격 증명과 관련되었으며, 현재는 최소 권한 및 감사 로깅 계정으로 재구성되었습니다.

1

1. RailsConf 기조연설

• DHH 기조연설: RailsConf 2025의 DHH 기조연설은 자원봉사 공동 의장과 프로그램 위원회의 프로그래밍 결정이었으며, 스폰서십 계약이나 외부 요구 사항과는 무관합니다.

1

1. 기타 질문

• Ruby 언어 소유: Ruby Central은 Ruby 언어를 소유할 계획이 없으며, Matz와 일본 Ruby Association이 주도합니다.

• 회원 기부: 개인 기부는 Ruby Central 자금의 중요한 부분이며, 지속적인 보안 투자와 프로그램 확장을 위해 장려됩니다.

• 유지보수자 접근 중단: 신속한 자격 증명 조정 과정에서 한 명의 활성 유지보수자의 접근이 의도치 않게 일시 중단되었으며, 현재 새로운 계약 절차에 따라 검토되었습니다.

• Ruby Central의 ‘공격’ 주장: 이는 접근 통제를 현재 정책에 맞추기 위한 필수적인 거버넌스 및 보안 변경에서 비롯된 것이며, 코드 변경이나 소유권 ‘탈취’는 없었습니다. 초기 소통 부족으로 인한 오해였습니다.