[태그:] 오픈소스

  • AI 개발 철학 비교: 인류를 위한 AI? 이익을 위한 AI?

    AI 개발 철학 비교: 인류를 위한 AI? 이익을 위한 AI?

    일론 머스크와 샘 올트먼이 법정에서 만났다. OpenAI의 미래를 두고 벌인 이 분쟁, 표면상은 계약 위반이지만 그 아래엔 더 근본적인 싸움이 있다. AI를 누구를 위해 만드느냐는 질문. 이게 지금 AI 업계 전체를 가르는 균열이다. 비영리냐 영리냐, 오픈소스냐 폐쇄형이냐 — 이 선택들이 AI 기술이 세상과 만나는 방식을 결정한다.

    철학이 다르면 AI도 다르다

    AI 개발에서 ‘어떤 목적으로 만드느냐’는 생각보다 훨씬 많은 것을 결정한다. 투자 유치 방식부터, 어떤 데이터를 쓸지, 위험한 기능을 공개할지 말지까지. 이 철학 차이가 제품 설계에 고스란히 드러난다. 크게 세 가지 기준에서 갈린다.

    • 안전성: AI가 오용될 가능성을 얼마나 통제할 것인가. 군사용 AI, 딥페이크 생성기 같은 기술에 어디까지 브레이크를 걸 것인지
    • 접근성: AI 혜택이 실리콘밸리 기업이나 G7 국가에만 집중되지 않고 실제로 퍼질 수 있는지
    • 투명성: 모델이 어떻게 작동하는지, 어떤 데이터로 학습했는지를 외부에 공개하는 범위

    이 세 축에서 어디에 무게를 두느냐에 따라 같은 AI 기업도 전혀 다른 조직이 된다. 안전성을 최우선으로 두면 제품 출시가 늦어지고, 접근성을 강조하면 수익 모델이 복잡해지고, 투명성을 높이면 기술이 경쟁자에게 흘러간다. 서로 충돌하는 가치들이다.

    비영리 모델 — 이상은 좋다, 돈이 문제다

    초기 AGI(범용 인공지능) 연구를 이끈 스타트업들 중 상당수는 비영리 단체로 출발했다. 연구 결과를 논문으로 공개하고, 주주 이익이 아닌 ‘인류의 복지’를 사명서에 박아놓는 방식이다. 철학적으론 맞다. 근데 현실은 녹록지 않다.

    • 공공성 강조: 이윤 구조에서 벗어나 사회 문제 해결을 최우선에 둘 수 있다. 의료 AI, 기후 모델링 같은 수익성 낮은 연구에 집중하기 좋다
    • 연구 공개: 오픈소스 프로젝트처럼 결과물을 커뮤니티와 나눠서 전체 AI 생태계 수준을 끌어올린다
    • 윤리 우선: 상업적 압박이 없으니, AI 위험 시나리오를 깊이 파고들 시간적 여유가 생긴다

    문제는 GPU 클러스터 임대비가 월 수백억 원대라는 거다. 비영리 구조로는 이 비용을 감당하기가 점점 어렵다. 우수한 연구자들도 연봉이 세 배인 빅테크에 빠져나간다. 이상과 현실의 간극이 너무 커서, 비영리를 끝까지 유지한 대형 AI 조직은 손에 꼽힌다.

    영리 모델 — 빠르고 강하다, 대신 방향이 흔들린다

    구글 딥마인드, 메타 AI, 아마존, 엔비디아. 이 회사들의 공통점은 주주가 있다는 것이다. 분기 실적이 AI 연구 방향을 건드린다. 나쁘게만 볼 건 아니다. 영리 모델의 장점은 꽤 실질적이다.

    • 빠른 개발 주기: 시장 경쟁 압박이 출시 속도를 강제로 높인다. 6개월마다 새 모델이 나오는 게 이 구조 덕분이다
    • 자금력: 투자자들이 수익 가능성을 보고 수조 원을 꽂는다. 연구 규모 자체가 달라진다
    • 인재 유치: 스톡옵션에 고액 연봉 패키지. 세계 최고 AI 연구자들이 모이는 건 돈이 되는 곳이다

    근데 이게 곧 한계이기도 하다. 수익성 없는 안전 연구는 뒤로 밀린다. 특정 기업 몇 곳이 AI 인프라 전체를 장악하면서 기술 독점 우려도 커지고 있다. AI 모델 성능 경쟁은 치열한데, 그 모델이 내뱉는 편향이나 오작동에 대한 책임 구조는 여전히 불명확하다. 이게 이 모델의 가장 큰 약점이다.

    하이브리드 모델 — 두 마리 토끼, 잡혔나

    비영리로 시작했다가 영리 자회사를 만드는 구조. OpenAI가 대표 사례다. 비영리 재단이 영리 법인을 지배하면서 ‘사명은 지키되 돈은 번다’는 아이디어. 이론적으로는 깔끔하다.

    • 자금 확보: 마이크로소프트 같은 투자자로부터 수백억 달러를 유치하면서도 비영리 원칙을 내세울 수 있다
    • 인재 유인: 영리 법인 구조로 시장 수준 연봉을 지급할 수 있다
    • 사명 유지 시도: 비영리 이사회가 영리 법인의 방향성을 통제하는 구조를 설계한다

    현실은 달랐다. MIT Tech Review가 전한 바에 따르면, OpenAI 창립자들 사이에서 이 구조가 결국 법적 분쟁으로 이어졌다. 비영리 사명과 영리 압박이 충돌하면서 내부 갈등이 쌓인 결과다. 솔직히 두 마리 토끼를 동시에 잡는 게 말처럼 쉬운 게 아니다. 수익이 커질수록 ‘인류를 위한다’는 문장은 점점 장식처럼 보인다는 비판이 나오는 이유이기도 하다.

    오픈소스 vs 폐쇄형 — 어디서 갈리나

    개발 철학의 또 다른 축. 코드와 모델 가중치를 공개하느냐, 잠그느냐. 이 선택이 생각보다 많은 것을 바꾼다.

    • 오픈소스 AI:
      • 장점: 투명하고, 커뮤니티가 버그를 고치고 기능을 확장한다. 접근성 면에서 압도적이다
      • 단점: 한번 풀린 모델은 회수가 불가능하다. 악의적 사용자가 무기화하거나 딥페이크에 활용하면 손쓸 방법이 없다
    • 폐쇄형 AI:
      • 장점: 기술 통제가 되니 오용 리스크를 줄일 수 있다. 안정적인 수익 모델도 가능하다
      • 단점: 특정 기업 몇 곳만 핵심 AI 기술을 독점한다. 외부 검증이 어렵고, 블랙박스 문제가 생긴다

    메타는 Llama 시리즈를 오픈소스로 풀었다. 구글은 Gemma를, 미스트랄은 자사 모델을 공개했다. OpenAI는 이름과 달리 최신 GPT 모델을 공개하지 않는다. 이 선택들이 각 기업의 철학을 가장 직접적으로 드러낸다. 어떤 게 맞다고 단정하기 어렵다. 다만 한쪽 극단으로만 가면 문제가 생긴다는 건 이미 여러 번 확인됐다.

    결국 어떤 구조가 맞는 건가

    정답은 없다. 이걸 인정하는 게 출발점이다. 비영리의 공공성, 영리의 효율성, 오픈소스의 개방성, 폐쇄형의 통제력 — 각각 포기할 수 없는 가치를 담고 있다. 단 하나의 모델로 수렴할 가능성도 낮다.

    결정적으로, AI의 미래는 어떤 구조를 택하느냐보다 그 구조 안에서 어떤 결정을 내리느냐에 달려 있다. 영리 기업도 안전 연구에 투자할 수 있고, 비영리 조직도 내부 권력 다툼으로 무너질 수 있다. 제도적 감시와 사회적 합의가 없으면 어떤 구조든 시간이 지나면 삐뚤어진다. AI 성능이 빠르게 올라가는 만큼, 이 기술을 어떤 방향으로 쓸지에 대한 논의도 같은 속도로 따라가야 한다. 기술만 앞서 달리고 철학이 뒤처지면, 그 간극을 메우는 건 결국 사고가 나고 나서다.

    출처: MIT Tech Review AI

  • 오픈소스 LLM의 진화: 딥시크 V4, 무엇이 다른가?

    오픈소스 LLM의 진화: 딥시크 V4, 무엇이 다른가?

    딥시크가 또 치고 나왔다. V4 출시 이후 개발자 커뮤니티 반응이 예사롭지 않다. “이게 오픈소스라고?” 하는 반응이 꽤 나왔고, MIT 테크 리뷰도 오픈소스 생태계의 중요한 이정표라고 짚었다. 클로즈드 소스의 독무대였던 고성능 LLM 시장에서, 딥시크 V4는 꽤 도발적인 질문을 던진다. 굳이 GPT에 돈 써야 하나?

    오픈소스 LLM이 지금 왜 중요한가

    예전엔 LLM은 빅테크 전유물이었다. 막대한 GPU, 방대한 학습 데이터, 수백 명의 연구팀 — 일반 기업이 범접할 수 없는 영역처럼 보였다. 그게 라마(Llama) 공개 이후 달라졌다. 이제 오픈소스 모델이 생태계를 실질적으로 바꾸고 있다.

    이유는 간단하다. 네 가지다.

    • 접근성: 특정 API 없이도 누구나 모델을 돌릴 수 있다. 기술 민주화라는 말이 공허하게 들릴 수 있는데, 여기선 진짜다.
    • 투명성: 모델 내부를 들여다볼 수 있으니 편향성 검증이나 윤리 문제에 대한 커뮤니티 수준의 논의가 생긴다. 블랙박스에 맡기는 것과는 차원이 다르다.
    • 혁신 속도: 전 세계 개발자들이 동시다발로 개선하고 실험한다. 단일 기업의 로드맵에 묶이지 않는다는 게 핵심이다.
    • 비용: 클라우드 API 호출 비용 없이, 인프라만 있으면 된다. 스타트업에게 이건 생존과 직결된 문제다.

    MIT 테크 리뷰 보도를 보면, 딥시크 V4의 등장은 이 오픈소스 흐름을 한 단계 더 끌어올리는 계기로 평가받는다.

    딥시크(DeepSeek)라는 회사

    중국 기반 AI 연구 기업이다. DeepSeek-MoE, DeepSeek-Coder 등 이전 모델들도 개발자 사이에서 꽤 인정받았다. 그냥 어디서 툭 튀어나온 회사가 아니라, 오픈소스 커뮤니티에서 실제 트랙 레코드가 있는 곳이다. 이들의 목표는 모델 개발 자체를 넘어, AI 연구의 개방성과 접근성을 높이는 데 있다. V4는 그 연장선의 최신작이다.

    딥시크 V4의 핵심: 콘텍스트 윈도우

    V4가 주목받는 이유는 단 하나다. 콘텍스트 윈도우가 비약적으로 늘었다.

    콘텍스트 윈도우란 모델이 한 번에 처리할 수 있는 텍스트의 양이다. 짧으면? 긴 문서는 반쪽밖에 못 읽는다. 길면? 100페이지짜리 계약서를 통째로 넣고 물어볼 수 있다. 그 차이가 실제 업무에서 얼마나 큰지, 써본 사람은 안다.

    V4의 새 아키텍처는 긴 프롬프트를 훨씬 효율적으로 처리한다. 구체적으로 무엇이 달라지냐면:

    • 장문 문서 처리: 긴 보고서, 논문, 법률 계약서를 통째로 넣고 요약이나 정보 추출이 가능해진다. 이전엔 잘라서 넣어야 했다.
    • 코드 분석: 대형 코드베이스를 한 번에 분석해서 버그를 찾거나 리팩터링 제안을 받는 것, 이제 현실적인 얘기가 됐다.
    • 대화 맥락 유지: 챗봇이 긴 대화 끝에 앞 내용을 까먹는 현상, 경험해봤다면 얼마나 짜증나는지 알 것이다. V4는 그 문제를 상당히 완화한다.

    솔직히 콘텍스트 윈도우 하나가 이 정도까지 게임 체인저가 될 줄은 몰랐다. 이 개선은 실제 비즈니스 환경과 개인 생산성 양쪽에 직접적인 파급을 준다.

    오픈소스 LLM이 실제로 바꿀 것들

    V4 같은 모델이 계속 나오면 생태계는 이렇게 달라진다.

    • 개발자 생태계 확장: 고성능 LLM을 기반으로 새로운 앱과 서비스를 만드는 진입 장벽이 확 낮아진다. AI 기술의 상향 평준화가 생각보다 빠르게 온다.
    • 스타트업 혁신 촉진: 초기 자본이 빠듯한 스타트업도 자체 AI 모델을 구축하거나 파인튜닝해서 경쟁력 있는 서비스를 만들 여지가 생긴다. 독점적인 API 비용 부담 없이 혁신에 집중하는 구조가 된다는 얘기다.
    • 기업 AI 도입 가속화: 유료 API 대신 자체 서버에 오픈소스 모델을 올리면 데이터가 외부로 나가지 않는다. 금융이나 의료처럼 민감한 데이터를 다루는 곳에선 결정적인 장점이다.
    • AI 연구의 새로운 지평: 모델 내부 구조를 직접 들여다볼 수 있으니 연구자들이 AI의 한계를 파고드는 속도가 달라진다. 엔비디아의 젠슨 황 CEO도 오픈소스 AI의 중요성을 여러 차례 언급한 바 있다.

    클로즈드 vs 오픈소스 — 솔직히 여기서 갈린다

    AI 모델 선택에서 클로즈드 소스냐 오픈소스냐, 이 질문이 점점 더 실질적인 의사결정이 되고 있다. 정리하면 이렇다.

    • 클로즈드 소스 (GPT-4, 클로드 3 등):
      • 장점: 대체로 최상급 성능, 편한 API 인터페이스, 안정적인 기술 지원, 꾸준한 업데이트.
      • 단점: 비용이 쌓인다. 데이터가 외부 서버로 나간다. 모델이 블랙박스다. 특정 기업 정책에 종속된다.
    • 오픈소스 (딥시크 V4, 라마 등):
      • 장점: 모델 자체는 무료이고 인프라 비용만 든다. 투명하고 커스터마이징이 자유롭다. 자체 서버 운영 시 데이터 주권을 확보할 수 있다.
      • 단점: 직접 운영·관리해야 한다. 초기 인프라 구축이 필요하다. 성능 편차가 존재할 수 있다. 클로즈드 소스만큼의 광범위한 기술 지원은 없다.

    최고 성능이 우선이고 비용이 문제없다면 클로즈드 소스. 비용이 아프거나, 데이터 보안이 민감하거나, 모델을 특정 목적에 맞게 깊이 손봐야 한다면 오픈소스가 더 합리적인 선택이다. 이건 이제 이념 문제가 아니라 현실적인 계산이다.

    딥시크 V4, 누가 실제로 쓸 수 있나

    추상적인 얘기 말고, 실제 활용 시나리오다.

    • 개인 개발자·연구자: 프로토타입 제작, 특정 연구 목적 실험, 도메인 특화 Q&A 시스템 구축. 비용 부담 없이 고성능 모델을 실험해볼 수 있다는 게 핵심이다.
    • 스타트업·중소기업: 내부 문서 요약, 고객 지원 챗봇, 마케팅 콘텐츠 생성, 이메일 자동화. 이것들을 직접 구현하면 비용 구조가 완전히 달라진다.
    • 교육 기관: 대규모 학습 자료 분석, 학생 질문 응답 보조 도구 개발. 대학이나 연구소 단위로 쓰기에 현실적인 선택지가 됐다.
    • 전문 서비스 분야 (법률, 금융 등): 긴 계약서나 금융 보고서에서 핵심 정보를 빠르게 추출하고 분석하는 데 쓰인다. 민감한 데이터가 외부로 나갈 걱정 없이 내부에서 처리할 수 있다는 점이 결정적이다.

    소설가 지망생이 방대한 자료를 읽고 아이디어를 뽑아내거나, 마케터가 고객 피드백 수백 건을 분석해 캠페인 아이디어를 찾는 데도 실제로 활용된다. 이게 먼 미래 얘기가 아니라 지금 일어나고 있는 일이다.

    오픈소스 AI, 다음 수순은

    오픈소스 AI는 이제 변방이 아니다. V4 같은 모델들이 방향을 보여준다.

    1. 성능 격차의 지속적인 감소: 클로즈드 소스와 오픈소스 간 성능 차이는 꾸준히 좁혀질 것이다. 더 효율적인 아키텍처와 학습 방법론이 빠르게 개발되고 있다.
    2. 커뮤니티 협력 강화: 전 세계 개발자와 연구자들이 버그 수정, 기능 추가, 보안 강화에 참여하는 속도가 더 빨라진다.
    3. 윤리·안전 논의 활성화: 투명한 모델 구조가 기반이 되니, AI 편향성 제거와 안전성 확보에 대한 기술적 논의도 더 구체적으로 진행될 전망이다.
    4. 전문 분야 특화 모델 확산: 일반 대화 모델을 넘어, 법률·의료·금융 등 특정 산업에 최적화된 오픈소스 LLM이 더 많이 등장할 것이다.

    결국 오픈소스 AI는 기술 독점의 벽을 허물고, 더 많은 사람에게 AI의 혜택을 실질적으로 가져다주는 동력이 된다. 딥시크 V4는 그 과정에서 빼놓을 수 없는 이정표로 남을 것이다.

    출처: MIT Tech Review AI

  • 개발자 MS 계정 잠김, 코드 서명 지키는 법

    개발자 MS 계정 잠김, 코드 서명 지키는 법

    빌드 파이프라인이 코드 서명 단계에서 멈춘다. 로그를 열면 인증서 오류뿐. MS 계정에 접속하니 “비정상적인 활동이 감지됐다”는 안내가 떠 있다. 긴급 패치를 배포해야 하는데, 계정이 잠긴 상태다.

    먼 나라 얘기가 아니다. TechCrunch가 2026년 4월 전한 바에 따르면, 오픈소스 WireGuard VPN 개발팀이 정확히 이 문제로 소프트웨어 업데이트 배포를 못 하는 상황을 겪었다. 코드 서명용 MS 계정 하나가 잠기면서 새 버전 출시가 통째로 막혔다.

    코드 서명 인증서가 묶인 계정 잠김은 단순한 로그인 불편이 아니다. 서비스 연속성 자체가 위협받는 사고다. 왜 생기는지, 어떻게 막는지, 이미 터졌을 때 어떻게 대응하는지 실질적인 내용을 정리했다.

    왜 갑자기 잠기는 걸까?

    MS가 계정을 잠그는 이유는 한마디로 ‘비정상적인 활동(Unusual Activity)’ 감지다. 근데 이 ‘비정상’의 기준이 생각보다 훨씬 까다롭다. 이건 좀 억울한 면이 있다.

    • 접속 환경이 갑자기 바뀔 때: 평소 한국에서만 로그인하다가 해외 클라우드 서버나 VPN을 통해 접속하면 공격 시도로 오인된다. CI/CD 파이프라인을 해외 리전으로 이전하는 타이밍에 딱 이 문제가 터진다.
    • 비밀번호가 유출 목록에 걸릴 때: 내 비밀번호가 다른 서비스에서 털린 데이터베이스와 일치하면, MS는 예방 차원에서 그냥 잠가버린다. 여러 서비스에 비슷한 비밀번호를 돌려쓰는 습관이 있다면 이게 진짜 위험하다.
    • 자동화 알고리즘의 오탐: 대부분의 계정 잠금은 사람이 판단하는 게 아니라 AI 기반 알고리즘이 결정한다. 단시간에 API를 여러 번 호출하는 정상적인 빌드 작업을 공격으로 잘못 읽는 경우가 꽤 있다.

    결정적으로, 이 조치는 사전 경고 없이 이뤄진다. 어느 날 아침에 갑자기 로그인이 안 되는 것이다.

    서명용 계정이 잠기면 파장이 다르다

    모든 계정 잠김이 같은 건 아니다. 코드 서명 인증서가 붙어 있는 계정은 차원이 다른 문제다.

    코드 서명은 “이 소프트웨어는 우리가 만든 것이고, 이후 변조되지 않았다”는 디지털 인감이다. 윈도우 환경에서 이 서명이 없으면 사용자 화면에 ‘알 수 없는 게시자’ 경고가 뜨거나, SmartScreen이 실행 자체를 차단해버린다. 서명 있는 프로그램과 없는 프로그램, 사용자 반응은 완전히 다르다.

    계정이 잠기면 인증서 갱신도, 새 버전 서명도 불가능해진다. 긴급 보안 패치가 필요한 상황에서 계정이 잠겨 있다면? 배포 못 한다. 피해는 사용자에게 간다. 더 나쁜 시나리오도 있다. 공격자가 이 계정을 탈취해 악성코드에 정상 서명을 찍어 뿌린다면 — 보안 사고가 아니라 재앙 수준이다.

    개인 계정에 묶어두면 안 되는 이유

    “이건 김대리 계정으로 관리하고 있어.” 아직도 이런 팀이 있다면, 솔직히 시한폭탄이다. 특정 개인의 계정에 코드 서명 같은 핵심 자산을 걸어두면, 그 사람이 퇴사하거나 휴가 가거나 계정이 잠기는 순간 전체 배포가 멈춘다는 뜻이다. 조직 차원의 관리 체계가 없으면 버티지 못한다.

    • 조직(Organization) 계정으로 전환: 개인 계정 대신 회사 차원의 조직 계정을 만들어 관리해야 한다. 관리자 권한을 2~3명에게 나눠두고, 한 명이 자리를 비워도 시스템이 돌아가는 구조가 핵심이다.
    • 최소 권한 원칙(Principle of Least Privilege): CI/CD 파이프라인에는 거기에 필요한 권한만 가진 서비스 계정(Service Principal)을 별도로 만들어야 한다. 팀원 전원에게 관리자 권한을 주는 건 편해 보이지만 위험하다.
    • 접근 로그 기록: 누가, 언제, 어떤 목적으로 인증서 관련 작업에 접근했는지 로그가 남아 있어야 한다. 문제가 생겼을 때 추적이 안 되면 수습 자체가 불가능해진다.

    계정 잠김 예방 체크리스트

    사고 후 수습보다 예방이 비용이 훨씬 적다. 아래 항목들은 반드시 점검하고 적용해야 한다.

    • 앱 기반 MFA 사용: SMS 인증은 SIM 스와핑 공격에 취약하다. Microsoft Authenticator나 Google Authenticator 같은 앱 기반 OTP로 바꿔야 한다. 그리고 복구 코드는 비밀번호 관리자, 오프라인 문서, 팀 공용 금고 등 여러 곳에 반드시 백업해둬야 한다. 휴대폰 분실 시 복구 코드가 없으면 답이 없다.
    • 코드 서명 전용 계정 분리: 코드 서명용 MS 계정은 이메일이나 Office 365 용도로 쓰는 계정과 완전히 분리해야 한다. 자주 쓰는 계정일수록 피싱이나 보안 위협에 노출될 가능성이 올라간다. 섞어 쓰면 안 된다.
    • 고유한 비밀번호: 다른 어떤 서비스에서도 쓰지 않는 길고 복잡한 비밀번호. 기본 중의 기본인데 여전히 많이 지켜지지 않는다. 팀 차원에서 1Password나 Bitwarden 같은 비밀번호 관리 도구를 도입하는 걸 진지하게 고려해야 한다.
    • 신뢰할 수 있는 IP/장치 등록: 가능하다면 특정 IP 대역이나 등록된 장치에서만 계정에 접근하도록 추가 설정을 걸어두는 것도 방어선이 된다.

    이미 잠겼다면 — 복구 절차 A to Z

    예방에 실패했다면 침착하게. 단, 착각하면 안 된다. 고객센터 전화 한 통으로 풀리는 문제가 아니다.

    1. 공식 계정 복구 양식 제출: MS가 제공하는 공식 복구 양식을 작성해야 한다. 계정 생성 시기, 과거에 썼던 비밀번호, 최근에 보낸 이메일 제목 등 본인임을 증명할 수 있는 정보를 최대한 상세하게 적어야 한다.
    2. 지속적으로 문의 업데이트: 자동화된 답변만 계속 올 수 있다. 포기하지 말고 문의(Ticket)를 계속 업데이트해야 한다. 개발자 계정이고, 코드 서명 문제로 제품 배포 자체가 막혔다는 긴급성을 명확히 전달하는 게 포인트다.
    3. 공식 서류 준비: 사업자등록증, 법인 서류 등을 요구하는 경우도 있다. 미리 준비해두면 대응 시간이 크게 줄어든다.

    복구 기간은 빠르면 며칠, 길면 몇 주다. 그 기간 동안 서비스 배포가 멈춘다. 한 번이라도 경험해보면 예방의 필요성을 따로 설명할 필요가 없어진다.

    자주 묻는 것들

    Q. YubiKey 같은 하드웨어 보안 키를 쓰면 안전한가요?
    훨씬 안전하다. FIDO2 기반 하드웨어 키는 피싱에 거의 완벽하게 저항하고, 지금 쓸 수 있는 MFA 수단 중 가장 강력한 축에 든다. 조직 차원에서 도입을 검토할 가치가 있다. 다만 키 분실이나 파손에 대비한 복구 계획은 별도로 세워둬야 한다. 키 하나에만 의존하다 잃어버리면 그게 또 잠금 사태로 이어진다.

    Q. Azure Key Vault 같은 서비스가 도움이 될까요?
    도입할 가치가 충분하다. 코드 서명 인증서와 개인 키를 개인 PC나 빌드 서버가 아닌 Azure Key Vault나 AWS KMS 같은 클라우드 기반 HSM(하드웨어 보안 모듈)에 보관하는 건 현대적인 접근 방식이다. 개인 계정 잠금 문제에서 상당 부분 자유로워지고, 접근 제어와 감사 기능도 훨씬 세밀하다. 규모 있는 팀이라면 이쪽으로 가는 게 맞다.

    개발자 계정 하나가 전체 서비스 배포를 막는다. 개인의 부주의 문제로만 볼 게 아니라, 조직 전체의 보안 인프라 문제로 봐야 한다. 체계 없이는 같은 일이 반복될 수밖에 없다.

    출처: TechCrunch