How to Use Smart Contract Blockchain to Secure the Integrity of SBOM

Abstract

현재 오픈소스 라이브러리를 사용한 SW 증가에 따른 소프트웨어 공급망에 대한 보안이 요구 되는 실정이다. 소프트웨어 공급망 보안의 해결책으로 SBOM을 요구하는 정책 및 지침이 제시되 고 있다. 소프트웨어에 대한 모든 정보들이 담겨있는 소프트웨어 자재명세서인 SBOM은 소프트 웨어 구성요소에 대한 가시성을 제공하고 소프트웨어의 취약성 및 위험을 이해하기 위한 기반으 로 사용되고 있다. 하지만, SW 개발사에서 제공하는 SBOM이 SW 사용자에게 제공되는 SBOM 과 동일한 문서인지 알 수 없기 때문에 SBOM에 대한 무결성을 검증하기에 부족함이 있다. 본 논문에서는 블록체인의 특성인 무결성을 SBOM에 적용하기 위해 암호화폐의 거래내역만 저장할 수 있는 일반 블록체인이 아닌 데이터 저장이 가능한 스마트컨트랙트 블록체인을 활용한다. SBOM 제공으로 SW 및 소프트웨어 공급망의 가시성이 확보되며, SBOM에 대한 무결성 확보를 통해 SW에 대한 사용자의 신뢰가 향상될 수 있다.