SolarWinds — compromising the build server, not the code
The SolarWinds attack inserted malware during the build, so signed, trusted updates carried the backdoor to thousands of customers — proof that a valid signature says nothing about a clean build.
Not yet scoped.
Why
The PoC maps the build-pipeline attack to reproducible-builds and SLSA provenance as the defenses, framing the CI system as the highest-value target.
How it works
Not yet built.
Where it lands in Jayverse
CI: treat the build pipeline itself as a target. Keep OpenZeppelin submodules pinned as already required, and add reproducible-build verification so a compromised runner can't silently inject code into a signed release.
Auditor/gitboard: record SLSA-style provenance per release. Which commit, which runner, which CI config produced a given build artifact, not just contract-level checks.
Key expressions
Words and phrases from this page worth keeping, with the Korean meaning and the sentence they come from.
Expression
뜻 · 쓰이는 자리
says nothing about
~에 대해 아무것도 보장해주지 않는다 · "a valid signature says nothing about a clean build"
compromise (verb)
(시스템을) 침해하다, 뚫다 · "compromising the build server, not the code"
carried the backdoor
백도어를 실어 날랐다 · "carried the backdoor to thousands of customers"
highest-value target
가장 노릴 만한(우선순위가 가장 높은) 표적 · "framing the CI system as the highest-value target"
map X to Y
X를 Y에 대응시켜 분석하다 · "maps the build-pipeline attack to reproducible-builds and SLSA provenance"
SolarWinds
2020년 발생한 소프트웨어 공급망 공격 사건 이름 · 빌드 서버를 노려 서명된 업데이트에 백도어를 심은 사례, 이 카드의 소재. "SolarWinds attack inserted malware during the build"
SLSA
소프트웨어 아티팩트 공급망 보안 등급(Supply-chain Levels for Software Artifacts) · 재현 가능한 빌드와 함께 이 공격에 대한 방어책으로 언급. "reproducible-builds and SLSA provenance as the defenses"
솔라윈즈 공격은 빌드 중에 악성코드를 삽입해, 서명되고 신뢰받는 업데이트가 백도어를 수천 고객에게 실어 날랐습니다 — 유효한 서명이 깨끗한 빌드에 대해 아무것도 말하지 않는다는 증거입니다.
아직 범위 미정.
왜
이 PoC는 빌드 파이프라인 공격을 방어책인 재현 가능 빌드와 SLSA 프로비넌스에 매핑하여, CI 시스템을 최고 가치 표적으로 규정합니다.
동작 방식
아직 만들지 않음.
Jayverse에서의 위치
CI: 빌드 파이프라인 자체를 공격 대상으로 취급한다. 이미 요구되는 대로 OpenZeppelin 서브모듈을 고정하고, 손상된 러너가 서명된 릴리스에 코드를 조용히 주입할 수 없도록 재현 가능한 빌드 검증을 추가한다.
Auditor/gitboard: 릴리스마다 SLSA 스타일 프로비넌스를 기록한다. 컨트랙트 수준 체크만이 아니라, 어떤 커밋, 어떤 러너, 어떤 CI 설정이 해당 빌드 산출물을 만들었는지 남긴다.
핵심 표현
이 페이지의 영어 본문에서 배울 만한 단어와 표현, 뜻과 나온 자리.
Expression
뜻 · 쓰이는 자리
says nothing about
~에 대해 아무것도 보장해주지 않는다 · "a valid signature says nothing about a clean build"
compromise (verb)
(시스템을) 침해하다, 뚫다 · "compromising the build server, not the code"
carried the backdoor
백도어를 실어 날랐다 · "carried the backdoor to thousands of customers"
highest-value target
가장 노릴 만한(우선순위가 가장 높은) 표적 · "framing the CI system as the highest-value target"
map X to Y
X를 Y에 대응시켜 분석하다 · "maps the build-pipeline attack to reproducible-builds and SLSA provenance"
SolarWinds
2020년 발생한 소프트웨어 공급망 공격 사건 이름 · 빌드 서버를 노려 서명된 업데이트에 백도어를 심은 사례, 이 카드의 소재. "SolarWinds attack inserted malware during the build"
SLSA
소프트웨어 아티팩트 공급망 보안 등급(Supply-chain Levels for Software Artifacts) · 재현 가능한 빌드와 함께 이 공격에 대한 방어책으로 언급. "reproducible-builds and SLSA provenance as the defenses"