SDK 및 도구의 보안 지원

이 페이지는 직접 다운로드하여 실행하는 소프트웨어를 다룹니다. 여기에는 SDK, CLI, Terraform/OpenTofu 제공자, MCP 서버가 포함됩니다. 각 제품이 보안 수정을 받는 기간, 취약점을 신고하는 방법, 보안 권고가 게시되는 위치, 그리고 설치하는 제품을 검증할 수 있도록 각 릴리스에 함께 제공되는 항목을 설명합니다. KeenAuth는 디지털 요소를 포함하는 제품에 대한 EU 사이버 복원력법(CRA)의 요구 사항을 충족하도록 이러한 절차를 설계했습니다.

아직 공개 레지스트리에 게시된 패키지는 없습니다. 릴리스와 연결된 이 페이지의 모든 항목(SBOM, 서명, 출처 증명)은 각 패키지의 첫 번째 릴리스부터 적용됩니다.

지원 기간

제품 라인 전체는 정식 출시일부터 최소 5년 동안 보안 지원을 받습니다.
보안 수정은 각 패키지의 최신 메이저 버전에 배포되며, 해당 버전으로 업그레이드하는 비용은 무료입니다.
이전 메이저 버전은 다음 메이저 버전이 정식 출시된 후 12개월 동안 보안 수정을 받습니다.
게시된 모든 보안 업데이트는 최소 10년 동안, 또는 지원 기간이 그보다 길다면 해당 지원 기간 동안 계속 제공됩니다.

지원 종료 경고와 런타임 지원을 포함한 전체 정책은 버전 관리 및 지원 중단 정책 페이지에서 확인하실 수 있습니다.

취약점 신고

security@keenauth.com으로 이메일을 보내 주십시오. 이 채널은 항상 열려 있으며 버그 바운티 캠페인과 관계없이 운영됩니다.

민감한 정보는 https://trust.keenauth.com/pgp-key.txt에 게시된 OpenPGP 키로 암호화해 주십시오. 지문은 0336 4D65 3B6C AA93 98A6 BE84 5C82 4CF9 48AB 83D6입니다.
연락처 정보는 https://trust.keenauth.com/.well-known/security.txt(RFC 9116)에도 게시되어 있습니다.
패키지 이름과 버전, 설명과 영향, 단계별 재현 방법을 포함해 주십시오. 크레딧을 원하시는 경우 이름 또는 핸들도 알려 주십시오.
지원 티켓이나 공개 이슈로 취약점을 신고하지 마십시오.

SDK의 안전하지 않은 기본값도 대상에 포함됩니다. 응답 시간, 테스트 규칙, 세이프 하버, 조정된 공개에 관한 내용은 취약점 공개 정책에서 확인하실 수 있습니다.

보안 권고

취약점을 수정하면 https://trust.keenauth.com/advisories에 보안 권고를 게시합니다. 각 권고에는 ASA-YYYY-NNNN 형식의 식별자가 있으며 다음 내용이 명시됩니다.

설명, 영향, 그리고 사용자가 취해야 할 조치
SDK 또는 도구의 경우 패키지 이름, 영향을 받는 버전 범위, 수정된 버전
CVSS v4.0 벡터와 수정 날짜
문제를 신고한 사람들에 대한 크레딧

SDK, CLI, MCP 서버, 제공자의 취약점에는 GitHub 보안 권고를 통해 CVE 식별자도 부여됩니다.

알림을 받으려면 아무 피드 리더에서나 https://trust.keenauth.com/advisories.atom Atom 피드를 구독해 주십시오.

이러한 제품의 취약점이 실제로 악용되고 있거나 심각한 사고가 보안에 영향을 미치는 경우, CRA가 요구하는 대로 당국에 보고하고 권고를 통해 사용자에게 알립니다.

SBOM 및 VEX

각 패키지의 첫 번째 릴리스부터 다음 항목을 제공합니다.

SBOM. 모든 릴리스에는 패키지에 포함된 구성 요소를 나열한 CycloneDX JSON 형식의 소프트웨어 자재 명세서가 함께 제공됩니다.
VEX. 나열된 구성 요소의 알려진 취약점이 패키지에 영향을 주지 않는 경우, OpenVEX 문서에 이를 명시합니다. VEX 문서는 이러한 진술이 있을 때에만 생성되며, 진술이 없는 릴리스에는 VEX 파일이 없습니다.

릴리스 검증

첫 번째 릴리스부터 제공됩니다. npm의 JavaScript/TypeScript 패키지와 PyPI의 Python 패키지는 장기 레지스트리 토큰 없이 신뢰할 수 있는 게시(trusted publishing)를 사용하는 릴리스 워크플로를 통해 공개 SDK 저장소에서 빌드되고 게시됩니다.

npm: 패키지는 출처 정보와 함께 게시됩니다. 프로젝트의 패키지에 대한 레지스트리 서명과 출처 증명은 다음 명령으로 확인하실 수 있습니다.
```
npm audit signatures
```
PyPI: 릴리스는 프로젝트 페이지에 표시되는 증명(attestation)과 함께 게시됩니다.
Sigstore 번들: 모든 패키지 파일과 해당 SBOM은 Sigstore 키리스 서명으로 서명되며, 패키지 파일에는 SLSA 출처 증명이 포함됩니다. 이 파일들은 공개 SDK 저장소의 릴리스 워크플로 실행 결과에 첨부되며 90일 동안 보관됩니다. 다운로드한 파일은 다음 명령으로 검증하실 수 있습니다.
```
cosign verify-blob <file> --bundle <file>.sigstore.json \
  --certificate-identity "https://github.com/<owner>/<repo>/.github/workflows/release.yml@refs/tags/<tag>" \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com
```
명령 실행 결과에 서명이 검증되었다고 표시되어야 합니다. 다운로드한 릴리스의 저장소와 태그를 사용해 주십시오.

MCP 서버는 npm 패키지이므로 위의 npm 절차를 따릅니다. Go SDK, CLI, 제공자의 서명 및 검증 절차는 첫 번째 릴리스와 함께 이 페이지에 게시될 예정입니다.