전 세계 수십억 대의 안드로이드와 아이폰이 매일 참조하는 시간대 정보 파일을 단 한 명이 거의 혼자 관리하고 있다면 어떨까. 실제로 UCLA 강사인 폴 에거트는 여가 시간을 쪼개 이 파일을 최신 상태로 유지하고 있으며, 그가 관리하는 코드에 전 세계 40억 대 이상의 스마트폰이 의존한다. 한 레딧 사용자가 이런 사례가 얼마나 흔한지 직접 조사해 공개하면서, 인터넷 인프라를 떠받치는 오픈소스 생태계의 취약한 구조가 다시 한번 주목받고 있다.
레딧 유저가 23개 프로젝트를 직접 분석한 이유
보안 사고가 터질 때마다 인터넷에서 자주 공유되는 xkcd 만화 2347번이 있다. 현대 디지털 인프라 전체가 한 사람이 아무 보상 없이 유지보수하는 작은 블록 하나에 위태롭게 얹혀 있는 모습을 그린 풍자다. u/Mastbubbles라는 아이디의 레딧 사용자는 이 비유가 실제로 얼마나 현실에 가까운지 검증해보기로 했다.
그는 스마트폰, 브라우저, 서버가 공통으로 의존하는 23개 프로젝트의 전체 커밋 기록을 내려받아, 2025년 10월 7일부터 2026년 10월 7일까지 1년간 10회 이상 커밋한 사람만 ‘정기 기여자’로 집계했다. 병합 커밋과 봇은 제외했다. 이 결과는 sheets.works에 ‘The People Holding Up the Internet’이라는 제목으로 공개됐고, r/linux 커뮤니티에서 하루 만에 약 1,100개의 추천을 받으며 큰 반향을 일으켰다.
조사 결과 23개 프로젝트 중 11개는 정기 기여자가 단 1~2명에 불과했다. 또한 후원 현황도 함께 조사했는데, 여기서 ‘공개 지원금 없음’은 Sovereign Tech Agency, Alpha-Omega, Open Collective, GitHub Sponsors 등 공개된 재단·플랫폼을 통한 후원이 없다는 뜻이지 개인적으로 금전적 보상을 전혀 받은 적이 없다는 의미는 아니라는 점을 저자는 분명히 밝혔다.
xz 백도어 사건이 보여준 최악의 시나리오
이번 조사에서 가장 상징적으로 언급된 사례는 거의 모든 리눅스 서버에 들어있는 압축 도구 xz다. 핀란드에 거주하는 라세 콜린이 혼자 관리해온 이 프로젝트는 2022년 6월, 콜린 스스로 “무급 취미 프로젝트이며 장기적인 정신 건강 문제로 유지보수 역량이 제한적”이라고 메일링 리스트에 밝힐 정도로 한계에 다다라 있었다.
이 틈을 노려 Jigar Kumar, Dennis Ens라는 계정들이 수개월간 “진행이 너무 느리다”며 공개적으로 압박했고, 동시에 ‘Jia Tan’이라는 사용자가 유용한 패치를 꾸준히 제출했다. 콜린은 결국 Jia Tan에게 더 많은 권한을 넘겼다. 2023년에는 Jia Tan의 커밋 수(304건)가 콜린(172건)을 넘어섰고, 2024년 2월 Jia Tan이 배포한 버전에는 SSH 서버에 접근할 수 있는 숨겨진 백도어가 심어져 있었다.
이 백도어는 마이크로소프트 엔지니어 안드레스 프로인트가 자신의 SSH 로그인 과정에서 CPU 사용량이 비정상적으로 높다는 것을 우연히 발견하면서 3월 29일 드러났다. 공격 경로는 일부 배포판이 OpenSSH를 libsystemd에 연결하고, libsystemd가 다시 xz의 일부인 liblzma를 가져오는 의존성 체인을 통했다. Jia Tan의 정체는 지금까지도 밝혀지지 않았다.
사건 이후 콜린은 다시 혼자가 됐다. 2025년 xz 변경사항의 97%를 그가 직접 작성했고, 2026년에도 정기 기여자는 여전히 한 명뿐이다. 조사에 따르면 백도어 사건 이후에도 xz에는 새로운 공식 후원이 전혀 들어오지 않았다. 이는 2014년 하트블리드 사태 이후 대규모 기업 후원을 받게 된 OpenSSL의 경로와 정반대다.
스마트폰 시계를 책임지는 또 한 명의 개인
두 번째 사례인 시간대 데이터베이스(tzdata)도 비슷한 구조다. 폴 에거트는 2012년부터 이 파일의 공식 관리자를 맡고 있으며 본업은 UCLA 컴퓨터공학과 강의다. 안드로이드, iOS는 물론 대부분의 서버가 이 파일을 읽어 현지 시각을 계산한다. 9월 29일 배포된 2026e 버전에는 매니토바주가 10월 31일부로 서머타임 없이 영구적으로 -05 시간대를 채택한다는 내용이 담겨, 위니펙의 스마트폰들이 11월 1일에 시계를 되돌리지 않도록 안내한다.
지난 1년간 이 파일에 적용된 251건의 변경 중 218건을 에거트가, 28건을 팀 파렌티가 작성했다. 에거트는 2020년 메일링 리스트에 “은퇴나 다른 사유로 내가 빠지게 될 경우를 대비해” 파렌티를 후임으로 지정해달라고 요청한 바 있다.
이 프로젝트는 법적 위험까지 겪었다. 2011년 한 점성술 소프트웨어 회사가 에거트와 1986년 미국 국립보건원(NIH)에서 이 데이터베이스를 처음 만든 아서 데이비드 올슨을 상대로, 데이터베이스 일부가 자사 소유 지도책에서 비롯됐다며 소송을 제기했다. 이로 인해 메일링 리스트와 다운로드 사이트가 한동안 폐쇄됐고, 그달 말 IANA가 운영을 넘겨받았다. 전자프런티어재단(EFF)이 무료로 두 사람을 변호했고, 회사는 2012년 2월 소를 취하했다. 현재 에거트에게는 별도의 후원 페이지가 없고, 이 프로젝트 역시 공개된 지원금을 받지 못하고 있는 것으로 조사됐다.
한국 개발자가 눈여겨봐야 할 지점
국내에서도 xz, tzdata처럼 운영체제 깊숙이 박혀 있는 라이브러리를 직접 작성하는 경우는 드물지만, 이들을 그대로 가져다 쓰는 서비스는 수없이 많다. 리눅스 서버를 운영하거나 안드로이드/iOS 앱을 만드는 국내 기업이라면 사실상 전원이 이 두 프로젝트의 ‘사용자’인 셈이다. xz 사태는 공급망 공격이 유명 오픈소스 재단이 아니라 한두 명이 번아웃 상태로 버티는 소규모 프로젝트를 노렸을 때 얼마나 치명적일 수 있는지 보여준 실제 사례다.
개발 조직 입장에서는 사용 중인 오픈소스 의존성 목록에서 유지보수자 수와 활동성을 점검하는 습관이 필요하다. 당장 돈을 지원하지 않더라도 GitHub Sponsors나 Open Collective 같은 창구를 통해 핵심 의존성 프로젝트를 후원하는 것만으로도 유지보수자의 번아웃을 늦추고, 결과적으로 공급망 보안을 강화하는 데 도움이 된다는 것이 이번 조사가 주는 시사점이다.
답글 남기기