무엇을 지켜보나

비트코인을 스스로 보관할 때 쓰는 오픈소스 지갑, 그리고 그 지갑들이 함께 쓰는 라이브러리를 목록으로 두고 지켜본다. 대상은 위쪽 모니터링 대상에서 볼 수 있다.

어떻게 확인하나

1. 새 버전이 나왔는지 본다. 바뀌었으면 소스를 받아 둔다.
2. 그 프로그램이 쓰는 라이브러리 목록을 뽑는다.
3. 공개된 취약점 데이터베이스에 조회한다. 버전이 그대로여도 매번 다시 조회한다 — 코드가 안 바뀌어도 어제 없던 취약점이 오늘 올라온다.
4. 나온 항목을 소스에서 확인한다. 그 라이브러리가 어느 기능에 쓰이는지, 문제가 되는 코드가 실제로 실행되는지 보고 확인 결과에 근거와 함께 적는다.

1~3은 자동으로 돌고 4는 사람이 소스를 읽어야 나온다. 4가 안 끝난 항목은 확인 필요로 남는다.

표기 읽는 법

• 취약점 없음 — 그 기능이 쓰는 라이브러리에 보고된 항목이 없다.
• 영향 없음 — 항목은 있지만 확인해 보니 이 기기에서는 문제가 되지 않는다. 누르면 근거가 나온다.
• 확인 필요 — 항목이 나왔고 아직 안 봤다. 위험하다는 뜻은 아니다.
• 확인 안 함 — 그 기능에 무슨 라이브러리가 쓰이는지부터 아직 정리가 안 됐다.
• 점검 전 — 새 버전만 지켜보는 중이고 안은 아직 안 봤다.

건수로 읽지 않는다

취약점 수는 위험의 크기가 아니다. 열 건이 화면 그리기에 몰려 있는 것보다 시드를 만드는 기능에 걸린 한 건이 무겁다. 그래서 기능별로 나눠 보여준다.

확인 근거가 없으면 확인 안 함이라고 쓴다. 자동으로 안전하다고 적지 않는다.

판정은 그때 그 버전 기준이다. 근거가 "이미지 파일을 읽는 기능이 없다"였다면 다음 버전에서 그 기능이 생기는 순간 판정을 다시 해야 한다. 그 조건을 판정 옆에 적어 둔다.

점검이 7일 넘게 멈추면 취약점이 0건이어도 경고로 바꾼다. 확인을 안 한 것과 문제가 없는 것은 다르다.

여기 없는 것

프로그램이 가져다 쓰는 라이브러리만 본다. 기기 운영체제와 펌웨어는 빠져 있다.

지갑 하나씩 따로 본 결과다. 여러 지갑을 묶어 쓰는 구성은 이 표로 판단할 수 없다.