OpenBao 2.7, 외부 키·양자내성 지원

ai.euno.news 자동 뉴스 요약

OpenBao가 2.7 버전에서 외부 하드웨어 보안 모듈(HSM)·키 관리 서비스(KMS)의 키를 직접 활용하고, TLS에 양자내성 암호 알고리즘을 적용할 수 있게 했다. PostgreSQL 기반 배포의 읽기 확장과 민감한 작업에 사람의 승인을 요구하는 기능도 추가됐다. 다만 양자내성 기능은 OpenBao만 업그레이드한다고 완성되는 것이 아니라 클라이언트와 인증기관 등 주변 시스템의 지원이 필요하다.¹

OpenBao는 HashiCorp가 2023년 Vault의 라이선스를 모질라 공중 사용 허가서(MPL)에서 비즈니스 소스 라이선스(BSL)로 바꾼 뒤 출범한 커뮤니티 포크다. 현재 리눅스 재단 산하 오픈소스 보안 재단(OpenSSF)이 관리하며, 오픈소스 이니셔티브(OSI)가 승인한 MPL 2.0으로 배포된다. Vault가 네임스페이스, HSM 연동, 고급 확장 기능 등을 기업용 라이선스에 묶은 것과 달리 OpenBao는 비슷한 기능을 공개 라이선스로 제공하는 방향을 택했다.¹

2.7의 외부 키 기능은 공개키 기반구조(PKI)와 Transit 시크릿 엔진이 키 재료를 OpenBao 내부에 저장하지 않고 HSM이나 KMS에 둔 채 사용하도록 한다. 연동은 서드파티 플러그인으로 구현된다. 루트 인증기관 키처럼 가치가 큰 키를 하드웨어 통제 아래 유지해야 하는 조직에 필요한 구조다. 별도 HSM 배포판은 중단됐으며, PKCS#11과 주요 클라우드 사업자의 내장 자동 봉인 해제 기능도 외부 플러그인으로 옮겨졌다.¹

양자내성 암호 지원 범위는 TLS 리스너와 인증서 인증, PKI, Transit이다. OpenBao는 여기에 ML-DSA 서명과 ML-KEM 키 캡슐화 메커니즘을 추가했다. 운영자는 기존 방식과 양자내성 방식을 섞은 하이브리드 구성이나 양자내성 전용 구성을 시험할 수 있다. 그러나 클라이언트와 인증기관이 같은 알고리즘을 처리하지 못하면 배포 전체가 양자 공격에 안전해지는 것은 아니다.¹

확장성도 손봤다. 지금까지 통합 Raft 스토리지에서 제공하던 대기 노드의 읽기 처리 방식을 PostgreSQL 백엔드로 넓혀, 여러 노드가 읽기 요청을 나눠 맡을 수 있게 했다. ACL 정책의 control_group 구문은 특정 경로 접근에 제2자의 검토를 요구한다. 인증된 사용자 한 명이 고위험 작업을 단독으로 실행하지 못하게 하는 승인 절차다. 로드밸런서 뒤의 노드들이 요청을 일관되게 처리하도록 새 헤더도 도입됐다.¹

읽기 목록은 이 브라우저에 저장됩니다.