리눅스 커널 개발자들은 이번주 보안 메일링 리스트를 만들어 오픈소스 리눅스 운영체제의 핵심 코드에 관련된 미래의 결함 정보를 소통시키기로 했다.

이 리스트는 곧 개발자들에 의해 발표될 예정으로 그동안 보안 결함에 대한 보고가 커널 팀에게 보내지는 엄청난 양의 이메일 메시지 때문에 분실될 수 있다는 일부 오픈소스 개발자들의 우려에 대한 답이다.

OSDL (Open Source Development Labs) 의 리눅스 커널 개발자인 크리스 라이트는 “이 절차를 최대한 개방적으로 만들 것이다. 가끔 사람들은 결함 보고를 비밀리에 진행하여 결과를 이해하고 픽스를 결함 공개 전에 확보하려고 한다. 우리는 이와 같은 기조를 유지하며 일이 잘못되는 것을 방지하려고 한다”라고 말했다.

이 메일링 리스트는 커널의 보안 관련 연락처로써 역할을 하며 이 리스트가 대중에게 얼마나 열려있어야 하는지 지난 수주간 고민한 결과이다.

보안 이슈의 공개는 열띤 논쟁의 주제로 커널 개발 그룹과 전체적으로는 소프트웨어 공동체에 있어서 그랬다. 일부는 인기 소프트웨어의 버그를 공개하면 인터넷 보안을 해친다고 주장하며 다른 이들은 결함은 대개 잘못된 개발 절차와 보안에 대한 집중력 결여 때문에 나타난다고 지적한다.

상용 소프트웨어 산업에서 행해지고 있는 기존 관행은 해당 소프트웨어 업체가 픽스를 개발하고 결함의 세부사항이 알려지기 전에 그 업데이트를 출시할 준비가 될 때까지 결함을 발견한 보안 전문가들이 기다리도록 요청하는 것이다.

그는 최근 CNET 뉴스닷컴과의 이메일 인터뷰에서 “최대한의 개방성을 원하며 개방성에 대해 편안함을 느낀다. 어느 수준의 보안이 구축되어 있어야 가능하며 그러한 수준의 보안에 불안을 느끼는 사람들은 따라서 그 개방성에 대해 반론을 제기하게 된다”라고 말했다.

상용 소프트웨어 업체와 심지어 리눅스 업체 보안 리스트인 벤더-섹(Vendor-sec) 과 비교했을 때 리눅스 커널 개발 팀은 이러한 개방적 공개라는 목표를 수용하는 것으로 보인다.

메일링 리스트에 관련된 성명 초안에 따르면 커널 팀은 “가능한 신속히 버그를 완전히 공개하는 것을 선호한다. 버그나 픽스가 완전히 이해되지 못했거나 해법이 제대로 시험되지 못하고 업체와의 협조가 제대로 되지 못했을 때 공개를 연기하는 것은 타당하다. 그러나 이러한 연기는 짧을수록 좋기 때문에 수일이 적당하며 수주나 몇 개월이 되서는 안된다”라고 말하고 있다. @