바이너리 투명성

Android 바이너리 투명성을 사용하면 사용자가 기기에서 실행되는 바이너리 (예: 앱, OS, 펌웨어)를 신뢰하고 더 높은 확신을 가질 수 있습니다. 이는 사용자가 기기에서 실행되는 특정 바이너리 (펌웨어 자체 포함)를 원래 소스(사용 가능한 경우)로 추적하고 바이너리의 서명 키에 액세스할 수 있는 공격자가 수정하거나 조작하지 않았음을 확인할 수 있을 때 가능합니다.

개요

소프트웨어 공급망은 손상된 서명 키부터 은밀한 코드 삽입, 내부자 공격에 이르기까지 공격에 점점 더 취약해지고 있습니다.

신뢰하는 소프트웨어에 대한 확신과 신뢰를 높이기 위해 다음과 같은 속성을 가진 투명성 로그를 만들 수 있습니다.

  • 추가 전용: 로그의 콘텐츠를 삭제, 수정하거나 소급하여 감지할 수 없도록 삽입할 수 없음
  • 암호화로 보장: 멀클 트리 데이터 구조를 활용하여 추가 전용 속성 보장
  • 공개적으로 감사 가능: 누구나 로그의 콘텐츠를 쿼리할 수 있음

소프트웨어의 메타데이터를 로그 콘텐츠로 게시하면 출처의 검증 가능한 기록을 제공하여 신뢰하고 실행하는 바이너리에 대한 확신을 높일 수 있습니다.

프로젝트

현재까지 두 개의 로그가 출시되었습니다.