‘카오스(chaos)’와 ‘엔지니어링’이라는 단어는 보통 잘 어울리지 않는다. 훌륭한 엔지니어는 결과적으로 혼란(chaos)스러운 상황을 멀리하기 때문이다. 그러나 최근에는 여러 소프트웨어 개발자가 숨겨진 결함을 드러냄으로써 컴퓨터 시스템을 강화하기 위해 적당한 수준의 ‘카오스’를 사용한다. 카오스 특성상 결과가 보장되지는 않으므로 완벽한 방법은 아니지만, 의외로 효과적인 경우가 많다.   카오스 엔지니어링은 문서화되지 않고 예측할 수 없는 백도어를 찾아야 하는 보안 애널리스트에게 특히 유용하다. 카오스 테스트로 모든 보안 문제를 찾을 수는 없지만, 개발자가 생각하지 못한 패치하지 않은 위험한 취약점을 발견할 수 있다. 좋은 카오스 엔지니어링은 데브섹옵스팀과 데브옵스팀에 모두 도움이 된다. 안정성 또는 탄력성 문제가 곧 보안 문제로 이어지는 경우도 있고, 동일한 코딩 실수가 전체 시스템 중단이나 사이버 공격자의 침입으로 이어질 수 있어서다. 카오스 엔지니어링이란? ‘카오스 엔지니어링’은 성공적인 결과가 입증된 여러 기법을 통칭하는 신조어다. 컴퓨터 시스템을 비틀어 균형을 무너뜨리고 멈추게 만들기도 하므로 ‘퍼징(fuzzing)’이나 ‘글리칭(glitching)’이라는 용어를 사용하기도 한다. 카오스 엔지니어링은 소프트웨어에 스트레스를 가하는 무작위 행동을 주입한 후 오작동이나 버그가 나타나는지 주의 깊게 관찰하는 방법이다. 정상적인 사용 환경에서는 발견까지 몇 년이 걸리는 문제를 카오스 엔지니어링으로 비교적 짧은 시간 안에 발견하는 경우가 많다.  EFF(Electronic Freedom Foundation) 공동 설립자 존 길모어는 “코딩은 지속적인 개선 과정이며 카오스 엔지니어링은 가능한 모든 실행 경로를 찾는 속도를 높이는 대표적인 방법이다. 오랜 기간 실행되는 코드는 해당 코드를 처음 실행하는 1,000만 명의 사용자, 코드를 처음 컴파일하는 20개의 컴파일러, 그리고 코드를 처음 실행하는 5개의 운영체제를 통해 대부분의 버그...

2일 전

VM웨어가 모든 쿠버네티스 상에서 손쉬운 애플리케이션 개발, 배포, 관리를 지원하는 ‘VM웨어 탄주 애플리케이션 플랫폼(VMware Tanzu Application Platform)’을 정식 출시한다고 1월 24일 밝혔다.  회사에 따르면 VM웨어 탄주 애플리케이션 플랫폼은 개발자 경험 및 생산성을 향상시켜 기업들이 애플리케이션 개발에서 생산까지 일련의 과정에서 보다 안정적인 소프트웨어 공급망을 확보할 수 있도록 지원한다.   VM웨어 탄주 애플리케이션 플랫폼은 애플리케이션 중심의 모듈화된 플랫폼으로, 다양한 개발자 도구와 기 검증된 경로를 제공해 개발자가 소프트웨어를 여러 퍼블릭 클라우드나 온프레미스 쿠버네티스 클러스터에 신속하게 구축, 제공할 수 있도록 지원한다. 쿠버네티스 추상화 레이어를 통해 셀프 서비스 기반의 한층 빠르고 안전한 앱 개발 및 제공을 지원함으로써 개발자 생산성과 사용자 경험을 모두 끌어올릴 수 있도록 설계됐다고 업체 측은 설명했다. VM웨어 탄주 애플리케이션 플랫폼은 ▲개발자 경험 향상 ▲공급망 커스터마이즈 ▲생산까지의 과정 가속화 등의 이점을 제공한다. 클라우드 네이티브 패턴에 최적화된 VM웨어 탄주 템플릿을 활용해 첫 앱 개발에 도달하기까지 빠르게 접근할 수 있으며, 하나의 관리 포털에서 서비스와 API를 함께 확인할 수 있는 일관된 인터페이스를 제공한다. 아울러 구성요소가 미리 탑재돼 개시와 동시에 사용할 수 있는 엔드투엔드 소프트웨어 공급망을 제공해 애플리케이션 개발 프로세스를 자동화하며, VM웨어 탄주의 서플라이 체인 코레오그래퍼(Supply Chain Choreographer)를 통해 사전 승인된 생산 경로를 활용할 수 있을 뿐 아니라, 이를 사업별 니즈에 맞춰 손쉽게 커스터마이즈가 가능하다. 개발자가 코딩을 완료하면 자동으로 안전한 소프트웨어 공급망을 가동한다. 개발부터 생산까지의 과정이 빠르고 매끄럽게 이어져 데브섹옵스(DevSecOps)간 애플리케이션 전환으로 인한 마찰을 줄인...

3일 전

개발팀에 따르면 공격자는 이 취약점을 통해 권한 있는 프로그램을 속여 액세스하거나, 삭제할 수 없는 파일 및 디렉토리를 제거할 수 있다.    러스트 1.58에 이어 지난 1월 20일 공개된 이 포인트 릴리즈는 std::fs::remove_dir_all 표준 라이브러리 함수의 경합 조건(race condition)을 수정했다. 개발팀은 해당 취약점이 CVE-2022-21658로 지정됐다고 밝히면서 권고사항을 게시했다.  이 보안 문제를 통해 공격자는 권한 있는 프로그램을 속여 액세스하거나, 삭제할 수 없는 파일 및 디렉토리를 제거할 수 있다. 러스트 버전 1.0.0~1.58.0은 이 취약점의 영향을 받는다. 사용자는 툴체인을 업데이트하고, 업데이트된 컴파일러로 프로그램을 빌드하는 게 좋다고 개발팀은 권장했다.  또한 러스트 1.58.1은 러스트 1.58에서 도입된 진단 및 도구의 여러 회귀를 해결한다.  • non_send_fields_in_send_ty 클리피 린트(Clippy lint)는 오탐(false positives)이 너무 많은 것으로 확인돼 ‘nursery’라는 실험적 린트 그룹으로 이동됐다.  • useless_format 클리피 린트가 러스트 1.58에 도입된 형식 문자열에서 캡처된 식별자를 처리하도록 업데이트됐다.  • 표준 입력을 통해 전달될 때 생성된 파일이 형식화되는 것을 방지하는 Rustfmt의 회귀가 수정됐다.  • 경우에 따라 rustc에서 잘못된 오류 메시지가 표시되는 문제가 수정됐다.  ciokr@idg.co.kr

3일 전

페이커 프로젝트의 새로운 유지관리자 그룹이 커뮤니티 및 프로젝트의 정상화를 시도하고 있다.  지난 1월 4일 종전의 관리자는 페이커 및 색상 라이브러리에 악성 코드를 커밋함으로써 이를 이용하는 수천 개의 프로젝트에 무한 루프 현상을 일으킨 바 있다. 이에 NPM을 관장하는 깃허브는 NPM 악성코드 정책에 따라 악성 페이커 및 컬러 패키지를 제거하고 사용자 계정을 정지시켰다. 또 색상과 관련한 새로운 보안 권고를 발표했다.  이어 최근 일단의 엔지니어 그룹이 페이커 패키지에 대한 깃허브 리포지토리를 만들고 NPM의 @faker-js/faker에서 이전 버전을 배포했다.  지난 14일에는 새로운 유지관리자 그룹이 페이커에 대한 개선 계획을 발표하고 버전 6.x 알파를 출시했다. 로드맵의 항목은 다음과 같다. • ESM(ECMAScript 모듈) 지원 • 개선된 테스트 인프라 • Typegen 문서 • Faker 생태계의 기존 유지 관리자와 협력 • 문서 내 대화형 놀이터 제공 • Node.js 18 호환성 페이커 자바스크립트 라이브러리는 테스트 및 개발을 위한 모의 데이터를 생성하는 역할을 한다. 페이커는 2004년 펄(Perl)에서 처음 구현됐다. 한편 NPM이 패키지 사이의 연관성에 영향을 받은 사건은 예전에도 있었다. 2016년 한 개발자가 소규모 자바스크립지 패키지의 개시를 취소하면서 프로젝트 사이의 종속성이 흔들린 바 있다. ciokr@idg.co.kr 

7일 전

수세가 ‘뉴벡터(NeuVector)’를 인수한 지 3개월 만에, 모든 쿠버네티스 사용자를 위해 깃허브의 아파치 2.0 라이선스에 따라 이 ‘전체 라이프사이클’ 컨테이너 보안 플랫폼을 오픈소스화했다. 한편 이 회사는 지난 2021년 10월 28일 뉴벡터를 인수한다고 발표했다.    컨테이너 런타임 보안은 쿠버네티스 클러스터를 강화하는 것부터 프로덕션 환경에 배포된 후 컨테이너 내에서 예기치 않은 동작을 지속적으로 스캔하는 것까지 임시 클라우드 네이티브 워크로드 보호를 목표로 하는 새로운 모델이다. 이러한 컨테이너 보안 니즈에 따라 딥펜스(Deepfence), 시스디그(Sysdig), 아쿠아 시큐리티(Aqua Security) 등의 (자금 지원을 받는) 스타트업은 팔로 알토 네트웍스(트위스트락(TwistLock))부터 레드햇(스택록스(StackRox)) 그리고 이제는 수세(뉴벡터)까지 이 시장을 노리는 기존 벤더와 경쟁하게 됐다.  뉴벡터는 전체 컨테이너 라이프사이클에 걸친 지속적인 취약점 검사, 엔드투엔드 런타임 보안, 포드 전반의 심층 네트워크 가시성, 컴플라이언스를 위한 컨테이터 세분화 등의 기능을 지원한다. 이제 모든 CNCF 인증 쿠버네티스 클러스터에 뉴벡터 컨테이너 이미지를 설치할 수 있다. 또 이는 수세의 자체 관리형 컨테이너 플랫폼 랜처(Rancher)와 긴밀하게 통합돼, 해당 애플리케이션 카탈로그를 통해 사용할 수 있다고 회사 측은 설명했다.  랜처 공동 설립자이자 현재 수세의 엔지니어링 및 혁신 부문 사장인 셍 리앙은 공식 블로그를 통해 “이 움직임이 쿠버네티스 보안에서 생태계 혁신을 주도하는 데 도움이 될 것이다”라고 밝혔다. 이어서 “독점 기술을 완전히 오픈소스화하는 작업은 수세의 오픈소스 문화 그리고 파트너 및 고객에게 개방적이고 상호 운용 가능하며 혁신적인 솔루션을 제공하겠다는 (수세의) 약속을 입증하는 것”이라고 그는 덧붙였다. ciokr@idg.co.kr

2022.01.19

애플의 앱 스토어(App Store) 홍보 페이지에는 다음과 같은 내용이 크고 굵은 글씨로 자랑스럽게 게재되어 있다.   10년이 넘는 시간 동안 앱 스토어는 새로운 앱을 발견하여 다운로드할 수 있는, 신뢰할 만한 안전한 공간이라는 사실을 증명했습니다. 안전하고 믿을 수 있는 장소임을 입증해 왔습니다. 그러나 앱 스토어는 단순한 스토어만이 아닙니다. 방문자에게 탁월한 경험을 제공하는 것을 목적으로 하는 혁신의 집약체죠. 물론 이러한 경험의 대부분은 우리가 제공하는 앱들이 개인 정보 보호, 보안 및 콘텐츠에 대한 가장 엄격한 기준을 충족할 때 비로소 보장됩니다. 그래서 우리는 이 부분에 대해서도 최선을 다하죠. 앱 스토어에 마련된 약 200만 개의 앱, 우리는 당신이 이 중 어떤 앱을 사용하든지 기분 좋은 경험을 누리길 바랍니다. 그러나 필자가 볼 때 이 내용은 수백만 명의 사용자에 대한 농담이다. 사실 앱 스토어는 사기 앱, 불법 복제 앱, 기만적이고 약탈적인 구독료, 그리고 이 모든 것을 뒷받침하는 가짜 리뷰가 만연하다. 멀리 갈 것도 없이 이번 주 워들(Wordle) 관련 소동이 대표적인 사례다.   이러한 문제는 그나마 앱 스토어를 비롯한 광범위한 앱 생태계에 익숙한 사람에게는 분명하게 인식되지만 일반 사용자에게는 상대적으로 그렇지 않다는 것이 더 심각한 문제다. 그 결과, 일부 아이폰 사용자는 속아 넘어가 엉뚱한 앱을 다운로드하고 있으며, 제대로 작동하지도 않는 쓰레기에 월 구독료를 내고 있다. 이래서는 곤란하다. 애플이 집 안 청소에 나서야 할 때가 지나도 한참 지났다.   워들은 최신 사례에 불과 최근 앱 스토어에 우후죽순처럼 등장한 워들 앱을 두고 말이 많았다. 워들은 웹에서만 이용할 수 있는 웹 기반 무료 게임인데, 대박이 나자 몇몇 약삭빠른 장사꾼이 이름까지 베껴서 앱 스토어에 팔기 시작했다. 뻔뻔스럽게 연간 구독료 30달러까지 청구한 이도 있었다. IT 언론 종사자 중에 워들을 즐기는 사람이 워낙 많다 보니...

2022.01.19

러스트(Rust) 기반 CSS 파서(parser), 컴파일러, 축소기(minifier)인 파슬 CSS(Parcel CSS)가 지난주 공식 발표됐다. 성능 및 축소 측면에서 강점을 지니는 도구라고 개발사 측은 강조했다.  러스트 언어로 작성된 이 도구는, CSS 모듈의 컴파일링을 처리하며, 중첩(nesting), 논리적 속성 및 레벨 4 색상 구문(Level 4 color syntax) 등의 CSS 기능을 트리 셰이킹 및 트랜스파일링한다.  파슬 CSS는 파슬과 함께 사용되거나 자바스크립트 또는 러스트의 독립실행형 라이브러리로 사용될 수 있다. 다른 도구 내에서 플러그인으로 래핑될 수도 있다. 지난 1월 12일 깃허브에 등록됐다. 현재 브라우저에서 라이브 데모를 시험해볼 수 있다.  개발진에 따르면 파슬 CSS의 강점 중 하나는 빠른 속도다. 네이티브 언어로 작성된 한편, 설계 시점부터 성능을 염두에 두고 개발됐기 때문이다. 이 밖에 CSS 속성을 사용할 때마다 다시 구문 분석해야 하는 문자열로 나타내지 않고 구조화된 데이터로 구문 분석 업무를 수행하는 메모리 최적화 기능을 갖췄다.  이 밖에 빠른 속도를 감안했음에도 불구하고 크기 및 요소 측면에서 타협하지는 않았다는 설명이다. 많은 라이브러리에서 사용되는 레거시 CSS 구문을 더 작고 현대적인 구문으로 변환하는 기능을 지원한다. 따라 많은 경우 다른 도구보다 더 작은 출력물을 생성한다고 개발진은 밝혔다. 아울러 각 개별 CSS 속성을 이해하기도 하는 것으로 전해졌다.  한편 파슬 CSS의 근간은 ‘css파서 러스트 크레이트’(cssparser Rust crate)다. 이는 파이어폭스 브라우저에서 사용되는 브라우저 등급 토크나이저다. 이를 통해 토큰화 및 기본 구문 분석 등을 아우르는 근간을 제공하게 된다. 파슬 사용자는 .parcelrc 파일에 다음을 추가하여 Parcel CSS를 사용해 볼 수 있다. {   "extends": "@parcel/...

2022.01.17

‘아이파이썬(IPython)’의 버전 8이 출시됐다. 이번 업데이트에서는 코드 포맷팅, 자동 제안, 역추적 기능 등이 개선됐다.     지난 1월 12일(현지 시각) 7.0 릴리즈 이후 3년 만에 ‘아이파이썬 8(IPython 8)’이 공개됐다. 개발팀에 따르면 이번 업데이트의 주요 기능 중 하나는 CLI에서 black으로 자동 재포맷하는 것이다. black이 아이파이썬과 동일한 환경에 설치된 경우 터미널 아이파이썬은 가능하다면 CLI에서 기본적으로 코드를 다시 포맷한다.  또한 버전 8에서는 오류가 발생한 셀 번호를 표시해 오류 역추적 기능의 형식을 적절하게 지정한다. 이전에는 코드 셀에서 발생하는 오류 역추적에 파이썬 AST(Abstract Syntax Tree)를 완료하는 데 사용되는 해시를 표시했었다고 개발팀은 설명했다. 아울러 아이파이썬 8에서는 Ctrl-E, Ctrl-F 또는 오른쪽 화살표를 사용하여 자동 제안을 수락할 수 있다.  이는 fish 및 zsh 셸과 프롬프트-툴킷에서 사용할 수 있다.  아이파이썬 설치 지침은 이곳(IPython.org)에서 확인할 수 있다. 해당 문서에 의하면 이번 릴리즈는 아이파이썬 버전 1.0과 5.0 사이에서 더 이상 사용되지 않는 거의 모든 기능 및 모듈을 제거했다.  한편 아이파이썬의 목표는 대화형 및 탐색적 컴퓨팅을 위한 포괄적인 환경을 제공하는 것이다. 이 파이썬 REPL은 ipykernel을 통해 주피터 커널(Jupyter Kernel)에 전원을 공급하고, 탭 완성, 향상된 역추적, 여러 줄 편집, 순수한 파이썬 스크립트 위에 몇 가지 유용한 기능 등을 제공한다. ciokr@idg.co.kr

2022.01.14

모질라가 ‘파이어폭스 96(Firefox 96)’을 릴리즈했다. 이번 업데이트에서는 새로운 CSS 속성 및 기능을 지원하고, 캔버스(Canvas) API에 웹피(WebP) 포맷 이미지 인코더 지원을 추가했다.    ‘파이어폭스 96’이 지난 1월 11일(현지 시각) 채널 사용자를 대상으로 배포됐다. 회사에 따르면 이제 파이어폭스는 CSS에서 color-scheme 속성을 지원한다. 해당 속성을 사용하면 요소가 쉽게 렌더링할 수 있는 색 구성표를 확인할 수 있다. 또 counter-reset 속성은 요소에서 내림차순으로 번호를 매기기 위한 역 CSS 카운터를 구축하는 reversed() 함수를 지원한다. reversed() 함수를 list-item 카운터와 함께 사용하면 역순으로 정렬된 목록에 번호를 매길 수 있다.  아울러 CSS에서 CSS 색상 값으로 사용할 수 있는 hwb() 함수가 구현됐다. hwb() 함수는 색조, 흰색, 검은색에 따라 색을 설명한다. 그래픽을 그리기 위한 파이어폭스의 캔버스 API에도 웹피(WebP) 포맷 이미지 인코더 지원이 추가됐다. 이를 통해 HTMLCanvasElement.toDataURL() 및 HTMLCanvasElement.toBlob() 등의 메소드를 사용할 때 캔버스 요소가 콘텐츠를 웹피 데이터로 내보낼 수 있다.  한편 모질라의 개발자용 파이어폭스 96 게시판에는 HTML 또는 자바스크립트와 관련된 주목할 만한 변경사항은 언급되지 않았다. 이 밖에 개발자와 관련된 다른 변경사항은 다음과 같다.  • 동일한 도메인에서 보냈지만 다른 스키마(예: http 또는 https)를 사용하는 쿠키는 이제 쿠키 SameSite 지시문과 관련하여 다른 사이트에서 온 것으로 간주된다. 또 SameSite 속성이 지정되지 않은 경우 쿠키는 암시적으로 SameSite=Lax라고 설정된다. SameSite=None인 쿠키에는 보안 컨텍스트가 필요하다.   • 이제 안드...

2022.01.13

애자일 매니페스토는 ‘프로세스와 툴보다 개인과 상호작용’에 더 가치를 둔다. 창안자의 핵심 원칙은 “최선의 아키텍처와 요구사항 및 설계는 자기조직화(self-organizing)가 된 팀에서 나온다”는 것이다. 필자도 이 원칙에 동의하지만, 실제 환경에서 자기조직화 팀이 어떻게 움직여야 하고, 최선의 결과를 달성하는 과정에서 의사결정 권한이 얼마나 도움이 되는지에 관해서는 실용적인 관점으로 접근해야 한다.   예를 들어 팀이 이상적인 아키텍처를 선택해 설계할 권한을 얻는다면 성과도 최적화되겠지만, 20개에 달하는 팀이 모두 각각 독립적인 아키텍처를 관리한다면 조직 관점에서는 상당한 골칫거리다.   또한, 프로세스와 툴이 더욱 개인과 원활하게 상호작용할 필요도 있다. 백로그 상태를 캡처하고 사용자 스토리를 표준으로 범주화하며 아키텍처를 문서화하면 팀 상호작용을 개선하고 회의에 소비하는 시간을 줄이는 데 도움이 된다.   애자일 자기조직화 팀에는 업무 역량 계획이 필요 애자일 업무 역량 계획은 많은 애자일 팀에서 기피하는 영역이다. 업무 역량 계획은 사람마다 생각하는 뜻이 다르므로 업무 역량 분석을 요청하거나 기술 공백 계획을 수립할 때는 맥락이 필요하다. 또한 업무 역량 계획 방법은 프로그램 관리 및 시스템 엔지니어링 분야에서 처음 개발됐는데, 이 분야는 애자일과 반대되는 영역으로 인식되는 경우도 있음을 생각해야 한다.   난점은 조달, 온보딩, 통합에 리드 시간이 필요하기 때문에 인력, 기술, 파트너십 등 애자일 팀에 필요한 요소 상당수에 사전 예측이 필요하다는 것이다. 애자일 리더는 업무 역량 계획을 생산성을 개선하고 무력감을 방지하고 데브옵스 투자에 대한 지지를 얻고 목표를 가로막는 장애물을 줄일 기회로 생각해야 한다.   그 외의 시간에는 애자일 팀은 비즈니스 관계자와 파트너가 되어 예정된 결과물에 대한 시야를 제공해야 한다. 팀의 속도와 생산성에 영향을 미칠 수 있다는 면에서 업무 역량 계획도&n...

2022.01.13

네이티브 모바일 및 데스크톱 애플리케이션을 구축하기 위한 플랫폼 간 개발 프레임워크 ‘닷넷 마우이(Multi-platform App UI)’의 프리뷰 버전 11이 출시됐다. 최신 프리뷰는 맥OS, 아이패드OS, 윈도우에서 윈도우 11 UI 스타일 지정 및 멀티 윈도우 애플리케이션 등을 지원한다.   ‘자마린.폼즈(Xamarin.Forms)’의 뒤를 이어 진화한 ‘닷넷 마우이(.NET MAUI)’를 통해 닷넷 개발자는 C#과 XAML을 사용하여 iOS, 안드로이드, 맥OS, 윈도우용 네이티브 앱을 빌드할 수 있다. 지난 1월 5일 공개된 이번 업데이트는 닷넷(.NET)의 최신 프리뷰 버전에서 실행되며, 윈도우의 비주얼 스튜디오 2022 17.1 프리뷰 2(Visual Studio 2022 17.1 Preview 2)에서 사용할 수 있다.  회사에 따르면 ‘플루언트 디자인 시스템(Fluent Design System)’을 기반으로 하는 윈도우 11 UI 스타일 지정을 지원하기 위해 프리뷰 11에서는 마우이의 버튼, 항목, 편집기 제어 등을 업데이트했다. 아울러 윈도우 11에서는 최신 버전을 사용할 수 있도록 플루언트 및 닷넷 마우이 스타일 제어가 업데이트됐다.   이 밖에 ‘닷넷 마우이 프리뷰 11’의 개선사항 및 새로운 기능은 다음과 같다.  • 자마린.폼즈와 비교해 닷넷 마우이는 주요 업데이트로 애플리케이션에서 멀티 윈도우를 지원한다. Application.Current.Windows는 생성된 모든 창에서 참조를 보유한다. 멀티 윈도우의 윈도우 앱 SDK 구현은 현재 실험적 릴리즈에 있다.  • 암시적 사용 및 파일 스크랩 네임스페이스 등의 C# 패턴을 사용하도록 템플릿이 업데이트됐다. 또한 ContentPage 및 ContentView에 관한 항목 템플릿이 추가됐다.  • 마이크로소프트는 자마린 SDK를 닷넷 6와 통합하기 위해 System.nint 및 System.nuint가 아닌 닷넷 6...

2022.01.12