Sca on OpenChain KWG

8th Meeting

Mon, 01 Jan 0001 00:00:00 +0000

Intro

Schedule: 2020-12-02 (Wed) 2:00~4:00 pm
How to join
- Join Zoom Meeting ( https://us02web.zoom.us/j/9990120120?pwd=NzVCaFE2L1RRRFZaSkk0dm8xdlplUT09 )
- Meeting ID: 999 012 0120
- Password: 123456

Agenda

No	Agenda	Speaker	Slide
0	Intro & Greetings	SK텔레콤 장학성	pdf
1	OpenChain Update	Shane Coughlan, Linux Foundation	pdf
2	현대자동차 오픈소스 거버넌스 체계 구축	현대자동차 백송하	pdf
3	SCA(Software Composition Analysis) Market 동향	카카오 황민호(Robin)	pdf
4	Olive 전격 공개	카카오 황민호(Robin)	-
5	Case Study	All	-
6	OpenChain KWG Update	SK텔레콤 장학성	pdf
7	Free Discussion	All	-

Case Study

주제 : 오픈소스 컴플라이언스 / 보안취약점 점검 대상 분류
- 폰트도 오픈소스 컴플라이언스 활동을 수행하는지? (예: Open Font)
- 회사가 사내 직원용 모바일 앱(안드로이드, iOS)을 배포하는지? 그렇다면 이것도 오픈소스 컴플라이언스 활동을 수행하는지?
- 오픈소스 보안취약점 점검 대상은 어떻게 분류하는지? 배포하는 소프트웨어 뿐만 아니라, 인프라 용, 서버 용으로 사용 중인 소프트웨어도 점검 대상으로 포함시키는지?

Attendees

Hyundai Mobis
Hyundai Motors
Kakao
ktds
LINE Plus
LG Electronics
NCSOFT
SamSung Electronics
SK telecom

Video

Introductions and Update

Hyundai’s Open Source Governance System

Trends in Software Component Analysis (SCA)

Kakao’s Olive System

Minutes

1. OpenChain Update (Shane Coughlan, Linux Foundation)

OpenChain 2.1 – ISO / IEC International Standard

12/14(월) publish 예정
일본과 한국 기업이 같은 날에 OpenChain 2.1 Announce 예정
인증 방식
1. Self Certification : https://certification.openchainproject.org/
2. Independent Assessment : 각 국가에 지정된 인증 기관 통해 인증
3. Third-Party Certification : PWC, TUV SUD등 OpenChain partner를 통한 인증 (OpenChain 공식 인증서 발급)

Self-Certification 지원 언어

현재는 영어, 한국어, 일본어 지원 중
12월 내에 중국어, 독일어, 프랑스어, 이탈리아어, 스페인어 등 가능해질 것
SPDX 2.2도 ISO/IEC Transposition Process 진입
- 2021년 2분기에 채택될 예정

Openchain T-shirt 추가 지원

추가로 티셔츠를 희망하는 분은 예산 지원 가능하다고 합니다! (Planning Group에 문의해 주세요 : korea-sg-planning@lists.openchainproject.org)

2. 현대자동차 오픈소스 거버넌스 체계 구축(백송하, 현대자동차)

배경

2015년, OIN(Open Invention Network) 가입: 오픈소스에 대한 특허권 크로스 라이선싱 단체
- Toyota, BMW, Honda 등이 참여하는 업계 컨소시엄에서 OIN 홍보를 많이 했음
2016년, Toyota에서 OIN 가입 후 1000만불 기부하여 Gold Member로 승인받음
2017년, 오픈소스 라이선스 전문교육을 받고 컴플라이언스에 대한 중요성 인식
2018년, TFT 신설

업계 특성

자동차에 포함되어 있는 소프트웨어 라인수가 1억줄 이상 (타 소프트웨어보다 더 비중이 큼)
Supply Chain 업체로부터 3,000개 이상의 부품이 납품되며, 그 중에서 직접 납품하는 1차 업체만 하더라도 300개 정도 (2차, 3차로 납품하는 케이스가 많아서 Supply Chain이 복잡함)
많은 공급 업체들을 어떻게 관리할 것인가가 쟁점

현재 구축된 컴플라이언스 방안

IP 조직 하에 오픈소스 관리 TFT 구성
- 법률 대응 및 서드파티 협력사들에게 라이선스 정책 배포, 오픈소스 검증하고 라이선스 고지 담당
방향성
- 1단계) 심플한 기준 수립
  - 해당 오픈소스 소스코드만 공개 및 고지하는 케이스
  - 수정 및 추가한 부분까지 공개하는 케이스
  - 결합된 모든 사용자 코드 공개 및 고지하는 세 가지 케이스에 대해 대응 방안 수립
- 2단계) NIPA와 업무협약체결
  - NIPA측으로 업체들이 검증 요청하도록 하고, 현대자동차는 업체로부터 검증 성적서를 제공받음
- 3단계) OPENCHAIN 프로젝트 활용
  - OPENCHAIN 프로젝트를 활용하여 업체에게도 오픈소스 컴플라이언스 인식 수준을 높이려고 함

이슈: 오픈소스와 특허

오픈소스도 특허로 보호 가능하고 출원과 등록 절차 필요함
라이선스 규정만 준수하면 되는 것이 아니라 제3자의 특허권에 문제가 없는지, 자사의 특허권 활용에는 영향이 없는지 확인
현대자동차는 OIN와 Linux System Definition을 통해 업계 관련 기술들을 크로스 라이선싱 하고 있음

Q&A

NIPA에 교육/검증을 요청하는 1,2차 업체들이 얼마나 있는지?

금년부터 시작했기 때문에 아직은 20개 정도 업체에서 검증 요청함
현재는 이미 출시했던 차종보다 신규 출시할 차종에 대해 오픈소스 검증을 진행 중
특허 검증 방법은 무엇인지?

소스코드를 매칭하는 툴은 따로 없음
기술을 숙지하고 특허 툴에 검색어로 검색해서 특허를 침해하는지 체크하고 있음
오픈소스와 관련된 특허 소송 이슈가 있었는지?

소송 사례는 없었으나 분쟁이나 이슈들은 존재하는 것으로 알고 있음
TF는 남양 연구소에서 시작되었고, 전사로 확장할 예정
업체 계약 시 특별한 프로세스가 있는지

기술 개발 의뢰할 때 도면을 제공하면서 관련된 지켜야할 규정과 스펙을 업체에 제공함
이때 오픈소스 관련 표준 스펙을 함께 제공해서 지키도록 하고 있음
업체 계약 시 오픈소스 관련된 조항을 만들 계획이 있음
기타: 전자가 OIN 가입하지 않은 이유

2차에 걸쳐서 OIN 가입을 검토했었으나 결국은 가입하지 않음
OIN 크로스 라이선싱 범위를 정할 때 어떤 범위까지 공유되어야 하는지 명확하지 않음
특허를 많이 보유한 업체는 OIN 때문에 라이선스가 빠져나갈 수 있는 리스크가 있다고 판단

SCANOSS

Mon, 01 Jan 0001 00:00:00 +0000

SCANOSS는 오픈소스 컴포넌트를 파일 단위뿐 아니라 스니펫(코드 조각) 단위까지 식별할 수 있는 소프트웨어 구성 분석(SCA) 도구입니다. 1억 개 이상의 파일을 인덱싱한 지식베이스(OSSKB, Open Source Knowledge Base)와 대조하여 라이선스·저작권 정보를 검출하고, CycloneDX·SPDX 형식의 SBOM을 자동으로 생성합니다.

GitHub: https://github.com/scanoss
공식 사이트: https://www.scanoss.com
라이선스: Apache-2.0

1. 주요 특징

스니펫 수준 매칭: 파일 전체가 아닌 코드 일부를 복사·수정한 경우도 출처 추적 가능
대규모 지식베이스: OSSKB에 1억 개 이상의 오픈소스 파일 인덱싱 — 주요 패키지 저장소와 GitHub 커버
SBOM 자동 생성: CycloneDX(JSON/XML) 및 SPDX 형식 출력 지원
CLI & REST API 이중 제공: scanoss-py(Python) CLI와 REST API를 모두 지원하여 자동화 통합이 용이
CI/CD 파이프라인 통합: GitHub Actions 등 CI 환경에서 커맨드 한 줄로 스캔 가능

2. 설치 방법

Python 3.8 이상 환경에서 pip로 설치합니다.

TRUSCA

Mon, 01 Jan 0001 00:00:00 +0000

기업이 오픈소스 컴포넌트의 취약점과 라이선스를 관리하려면 SCA(Software Composition Analysis) 도구가 필요하다. 상용 제품이 여럿 있으나, 사내에 직접 설치해 운영할 수 있는 오픈소스 도구를 찾는 경우도 있다.

TRUSCA는 이러한 용도로 공개된 자체 호스팅 SCA 포털이다. Apache 2.0 라이선스로 배포하며, 취약점(CVE), 라이선스 컴플라이언스, SBOM 관리를 하나의 화면에서 다룬다. KWG 커뮤니티 활동에서 출발한 Trusted OSS 프로젝트가 개발하고 있다.

주요 특징

30여 개 언어 생태계의 컴포넌트 검출(cdxgen 기반), 직접 의존성과 전이 의존성 구분
Trivy 통합 데이터베이스(NVD, OSV, GitHub Advisory, EPSS, KEV) 기반 취약점 검출과 7단계 VEX 분류 절차, EPSS 점수 기반 우선순위 지정
라이선스 분류(허용, 조건부, 금지)와 의무사항 추적, 고지문(NOTICE) 자동 생성
SBOM 내보내기(CycloneDX JSON·XML, SPDX JSON·Tag-Value)와 외부에서 만든 SBOM 가져오기
컴포넌트 승인 절차(검토 대기, 검토 중, 승인, 반려), 감사 로그, 역할 기반 권한 관리
GitHub Action, GitLab CI 템플릿, Jenkinsfile 예시 제공. 심각한 취약점이나 금지 라이선스가 검출되면 빌드를 중단하도록 설정할 수 있다
한국어와 영어 화면 지원

설치

Docker Compose로 개발 환경을 띄울 수 있다.

AI가 만든 코드, 오픈소스 검사를 어디까지 해야 할까

Mon, 08 Jun 2026 00:00:00 +0000

이 글은 Claude Code를 이용해 작성했고, 인용한 핵심 사실은 공개 출처로 교차 검증했습니다.

고지

이 글은 작성자 개인의 분석과 정리이며, 법률 자문이 아닙니다. 인용한 사실은 공개 출처에 근거해 확인했으나, 구체적 사안의 판단은 변호사 등 전문가의 검토를 받으시기 바랍니다.

한 가지 먼저 짚을 점

이 질문에 곧바로 “예"나 “아니오"로 답하기는 어렵습니다. 뒤에서 하나씩 짚겠지만, 답을 좌우하는 것은 AI 자체가 아니기 때문입니다. AI 코딩은 패키지로 선언되지 않은 코드 조각의 유입 속도를 높이지만, 라이선스 의무가 생기는 조건 자체를 바꾸지는 않습니다. 그래서 “AI 시대에 스캔이 의미 있나"보다는 “어떤 조건에서 스니펫 단위 검사가 더 중요해지고, 어떤 조건에서 덜 중요해지나"로 나눠 보는 편이 판단에 도움이 됩니다.