1. 센트OS 지원 종료로 인한 보안위협 (관련기사: 클릭)

2. 센트OS 지원 종료에 따른 대응방안

지난 글에서는 센트OS(이하 CentOS)의 지원이 종료와 이로 인한 보안 위협에 대해 알아보았다. 이런 상황에 대응하기 위해서는 지원이 종료된 CentOS에서 새로운 운영체제로 전환하는 것이 필요하다. 이때, 선택하는 운영체제는 지속적으로 취약점 등이 패치되어, 운영체제에 대한 보안위협이 관리될 수 있고, 현재 시스템과 큰 충돌 없이 마이그레이션할 수 있어야 한다.

앞에서 말한 새로운 운영체제를 선택하기 위해서는 레드헷 계열의 운영체제들이 어떤 것들이 있는지를 파악하고, 업 스트림(upstream)과 다운 스트림(downstream)의 개념에 대한 깊은 이해가 필수적이며, 이에 대해 알아보도록 하겠다.

레드헷 리눅스의 업 스트림이란 커널소스에 최신 리눅스를 먼저 업데이트하는 것을 의미한다. 위 그림에서와 같이 이에 대한 예는 대표적으로 fedora이다. 이는 RHEL(Red Hat Enterprise Linux, 레드헷 엔터프라이즈 리눅스)와 별개로 자체적인 발전 방향을 가진다. 이로 인해 사용자는 최신 리눅스 기술을 선제적으로 기술 들이 녹아 들어가 있으며, 이러한 점 때문에 한때 리눅스 얼리어뎁터들이 선호하는 리눅스였다. 하지만, 동시에 안정성이 보장되지 않았다.

반대로 레드헷 리눅스의 다운 스트림은 RHEL을 최대한 충실히 따라가는 것을 말한다. 이에 따라 RHEL이 개발된 이후 분기(브랜치, branch)되어 RHEL의 안정성을 그대로 따라갈 수 있다.

따라서 RHEL의 취약점이 발생하고, 그에 대한 보안 패치가 업데이트 되면. CentOS와 같이 다운 스트림 리눅스 버전도 그에 대한 패치가 곧 업데이트 된다. 즉 CentOS는 유료제품인 RHEL만큼 보안위협과 버그 등에 대하여 안정성을 유지할 수 있다는 말이다.

하지만 CentOS의 지원종료로 인하여 이는 더이상 불가능 해졌으며, 기존의 CentOS 리눅스는 종료되고 CentOS Stream이라는 새로운 프로젝트로 변경되었다.

이는 기존과 다르게 RHEL의 다운 스트림 제품이 아닌, 업스트림 제품이었다.

일부 국내 블로그 등에서는 CentOS Stream가 CentOS에서 변경된 프로젝트라는 이유로 이를 하나의 대안으로 내세우기도 하지만, 이는 사실이 아니다. CenOS Stream은 RHEL의 업 스트림 프로젝트이며, RHEL이 아닌 독자적인 방향으로 진화할 것이기 때문에 호환성과 보안위협을 장담할 수 없다.

RHEL에서는 RHEL를 정식으로 발표하기 전 프리테스트 시험작들이 먼저 업 스트림인 CentOS Stream으로 배포할 것이며 RHEL과 별개로 진행될 것이라고 발표하였다.

따라서, 기존 시스템에서 CentOS를 사용하고 있었다면, CentOS Stream이 아닌 새로운 운영체제로의 이전이 필요하며 본 글에서는 다음과 같은 방안을 제시한다.

기존 시스템에 개발된 응용 프로그램이 없을 때 : 별도의 호환성을 고려할 필요가 없기 때문에 우분트 등 자신에게 맞는 새로운 계열의 리눅스 OS를 설치하면 된다.

기존 시스템에 개발된 응용 프로그램이 있을 때 : 유료서비스를 사용가능할 경우 RHEL(레드헷 엔터프라이즈 리눅스) , 무료로 버전을 원할 경우는 RHEL의 다운 스트림인 Rocky 리눅스 사용을 추천한다.

Alma 리눅스, Rocky 리눅스 등 CentOS의 지원 중지에 반발하여 몇개의 새로운 RHEL 다운 스트림 리눅스 프로젝트들이 시작되었는데, 이 중에서 가장 안정적인 리눅스 프로젝트로 평가받고 있는 것이 Rocky 리눅스이다. Rocky 리눅스는 bug to bug(버그까지 받아드린다)라고 할 만큼 RHEL을 그대로 따르고 있는데, CentOS에서 동작하던 버전과 동일한 상용 소프트웨어 및 라이브러리 등이 가장 잘 동작하는 리눅스 배포판이기 때문에, CentOS의 좋은 대안이 될 수 있다.

지금까지 CentOS 지원 종료에 따른 대안이 될 수 있는 운영체제를 소개하였다. 그러나, 기존 시스템에서 새로운 운영체제로 각종 프로그램과 서비스를 이전하는 것 시 쉽지만은 않을 것이다. 하지만 보안 위협을 관리하고 대응하기 위해 이는 꼭 필요한 일이며, 기업 중진이나 기관 관리자가 이를 위한 강한 동기를 부여하는 것이 필요로 한다.

[글. 이재춘 보안전문가. (전)KISA 침해사고분석가·AI보안위협 분석가/(전)고려대학교 겸임교수]

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★