안녕하세요,그로메트릭 입니다. 🐸 Maven Central에서 Java 의존성을 가져오는 개발팀이라면, 빌드가 성공하는 이면의 구조를 한 번쯤 짚어볼 필요가 있습니다. 개발팀이 의존성을 추가할 때 신뢰하는 대상은 파일 하나가 아닙니다.좌표와 일치하는 컴포넌트, 올바른 버전 해석을 돕는 메타데이터, 빌드 시점에 항상 가능한 다운로드까지 함께 신뢰하게 됩니다.이 과정은 대부분 자동으로 수행되기 때문에, 신뢰가 전제되어 있다는 사실은 평소에 잘 드러나지 않습니다. 소나타입의 OSPO Global Director인 Paul Horton은 퍼블리싱, 메타데이터, 가용성, 문제 대응, 장기 보존이라는 운영 요소가 이 신뢰를 만든다고 설명합니다. 의존성의 출처와 위험을 설명해야 하는 조직에게는 공급망 보안 관점에서..

안녕하세요,그로메트릭 입니다. 🐸 오픈소스를 배포할 때 "더 많이, 더 자주"가 항상 좋은 신호는 아닙니다. 전 세계 자바 생태계의 핵심 인프라인 Maven Central을 운영하는 소나타입(Sonatype)이 퍼블리셔들과 나눈 대화에서 발견한 흥미로운 사실이 있습니다. Central에 올라오는 아티팩트 중 상당수가 애초에 다운스트림 소비자를 위한 것이 아니었다는 점입니다. 벤치마크용 JAR, 아무도 쓰지 않는 테스트 픽스처, 로컬 개발용 서버가 그대로 공개 배포 번들에 섞여 들어가는 식입니다. 악의도, 부주의도 아닙니다. 빌드 기본값과 오래된 릴리스 관행, 그리고 아무도 다시 들여다보지 않은 자동화가 누적된 결과일 뿐입니다. 이번 글은 실제 커머셜 퍼블리셔 한 곳이 릴리스 번들을 직접 감사(audit..

안녕하세요,그로메트릭 입니다. 🐸 Java 진영에서 라이브러리 하나를 내려받는 순간마다 당연하게 여겨온 Maven Central이, 사실은 전 세계 소프트웨어 딜리버리를 떠받치는 '숨은 인프라'라는 사실 알고 계셨나요? 빌드 도구, 스캐너, CI/CD 파이프라인, 의존성 해석, 자동 배포까지, 우리가 매일 실행하는 빌드 명령 뒤에는 Maven Central이라는 공용 인프라가 조용히 자리하고 있습니다. 평소엔 있는지도 잊고 지내다가, 문제가 생기는 순간에야 모두가 그 존재를 실감하게 되는 인프라이기도 합니다. 그런데 최근 소나타입(Sonatype)이 이 인프라의 운영 방식을 근본적으로 재검토하겠다고 예고했습니다. 핵심 문제의식은 '오픈소스 라이선스'와 '커뮤니티 오픈소스'를 같은 것으로 취급해서는 안 ..