보안

Apothem의 보안 태세는 공급망 강화, 취약점 대응, 브랜치 보호, 릴리스 서명, 지속적 보안 분석이라는 다섯 가지 기둥 위에 세워져 있습니다. 이 섹션은 각 표면을 문서화합니다.

위협 모델

Apothem은 구성 물질화기입니다. 공유 프로필을 읽어, 각 하니스가 읽는 디렉터리에 하니스별 구성 파일을 씁니다. 이 단일 기능이 무엇을 신뢰하고 무엇을 신뢰하지 않는지를 한정합니다.

• Apothem이 신뢰하는 것. 여러분이 작성하는 공유 프로필과 설치 프로그램이 배치하는 번들 소스 트리입니다. 프로필은 여러분이 선언한 의도이며, 엔진은 스키마 검증을 거친 후 이를 권위 있는 입력으로 취급합니다.
• Apothem이 신뢰하지 않는 것. 프로필 내용은 검증을 거친 후에야 파일 시스템에 도달합니다. 스키마 실패, 알 수 없는 하니스 ID, 안전하지 않은 프로젝트 경로, 누락된 매니페스트 소스, 대상 순회, 심볼릭 링크 횡단은 모두 어떠한 쓰기보다 먼저 중단되며 files_written: []를 포함한 구조화된 진단을 반환합니다.
• 물질화된 출력이 결코 운반하지 않는 것. 어떤 비밀도 없습니다. 프로필 진단은 일반 텍스트 출력, JSON, 로그, 문서 스니펫, 테스트에 도달하기 전에 비밀처럼 보이는 키와 토큰 모양의 값을 가리며, 공개 예시에는 가짜 자리표시자 신원과 도메인을 사용합니다. 물질화된 구성은 커밋되고 공유되도록 의도되어 있으며, 자격 증명을 운반하지 않습니다.
• 보편적 거부 하한선. Apothem이 물질화하는 규칙은 하니스별 허용 목록에 관계없이 협상 불가능한 거부 하한선을 지닙니다 — 비밀 경로(.env*, ~/.ssh/**, 자격 증명 저장소), 파괴적 셸 작업(rm -rf, sudo, 보호된 브랜치로의 강제 푸시), 신뢰할 수 없는 입력의 실행입니다. 어떤 허용 목록도 이 하한선을 조용히 넓히지 않습니다.
• 영향 반경. 쓰기는 하니스 디렉터리와 Apothem 소유의 지원 하위 트리로 범위가 한정됩니다. 기존 관리 대상은 교체 전에 백업되며 공유 디스커버리 디렉터리는 자식 단위로 병합되므로, 무관한 운영자 작성 파일은 그대로 남습니다.

런타임 안전 태세

하니스 라이프사이클 및 프로필 쓰기 명령은 쓰기 전에 검증합니다. 프로필 스키마 실패, 알 수 없는 하니스 ID, 안전하지 않은 프로젝트 경로, 누락된 매니페스트 소스, 대상 순회, 심볼릭 링크 횡단은 파일 시스템 쓰기보다 먼저 중단되며 files_written: []를 포함한 구조화된 진단을 반환합니다.

설치 및 업데이트 작업은 기존 관리 대상을 교체 전에 백업하여 보존합니다. 공유 디스커버리 디렉터리는 자식 단위로 병합되므로 무관한 운영자 작성 파일은 그대로 남습니다. --dry-run은 동일한 검증을 수행하고 디렉터리나 파일을 만들지 않은 채 계획된 결과를 보고합니다.

프로필 진단은 일반 텍스트 출력, JSON 출력, 로그, 문서 스니펫, 테스트에 도달하기 전에 비밀처럼 보이는 키와 토큰 모양의 값을 가립니다. 공개 예시에는 가짜 자리표시자 신원과 도메인을 사용합니다.

빠른 링크

• OpenSSF Scorecard 태세 — 점검별 증거와 알려진 플랫폼 한계
• Webhooks 감사 — webhook 비밀 위생 증거
• 브랜치 보호 — 리뷰 게이트, 상태 점검, 푸시 제한
• 바이너리 산출물 스윕 — 소스에 바이너리 제로 릴리스 증명
• 보안 정책 — 취약점 보고 및 지원 버전
• OpenSSF Scorecard 배지 — 실시간 점수

취약점 보고

리포지터리의 Security 탭에 있는 비공개 취약점 보고를 사용하세요. 전체 정책, 지원 버전 매트릭스, 응답 타임라인은 SECURITY.md에 있습니다.

공급망 릴리스 증명

모든 릴리스 산출물에는 다음이 함께 제공됩니다.

• SLSA-3 빌드 출처, slsa-framework/slsa-github-generator 경유
• Sigstore 서명, sigstore/cosign-installer 경유
• CycloneDX SBOM, anchore/sbom-action 경유
• npm 출처 명세, @ahmed-g-gad/apothem의 Trusted Publishing OIDC 경유
• GPG 서명 git 태그(EDDSA 키 70396FED9C634163)

검증 방법은 릴리스 주기와 릴리스 복구에 인라인으로 기록되어 있습니다. 전용 릴리스 검증 런북은 곧 제공될 예정입니다.