クイズ: リリース関門

서명 검증만 하는 관문이 통과시켜 버리는 경우는?

• 산출물이 빌드 뒤에 한 바이트 바뀐 경우
• 서명 파일이 아예 빠진 경우
• 서명도 맞고 다이제스트도 맞는데 허락하지 않은 빌더가 만든 경우
• 서명이 다른 키로 만들어진 경우

관문의 실패 사유를 문장 대신 짧은 코드로 남기는 이유는?

• 판정이 그대로 통계가 되어 무엇을 고칠지 숫자로 정할 수 있어서
• 로그 저장 공간을 아낄 수 있어서
• 다국어 번역이 필요 없어져서
• 코드가 문장보다 빠르게 출력되어서

관문을 시험할 때 통과하는 경우를 먼저 확인해야 하는 이유는?

• 통과 경로가 더 자주 실행되기 때문에
• 막는 경우만 시험하면 '항상 막는' 관문도 성공한 것처럼 보이기 때문에
• 통과 경로가 더 빠르게 끝나기 때문에
• 막는 경우는 재현하기 어렵기 때문에

경고만 내고 배포를 멈추지 않는 관문의 문제는?

• 로그 용량이 빠르게 늘어난다
• 빌드 시간이 길어진다
• 검증 결과가 감사 기록에 남지 않는다
• 아무것도 막지 못하면서 보호받는다는 믿음만 만든다

증명의 subject 다이제스트를 지금 배포하려는 파일의 해시와 견주는 검사가 막는 것은?

• 증명은 그대로 두고 산출물만 바꿔치기한 경우
• 증명에 적힌 빌더가 허용 목록에 없는 경우
• SBOM 의 구성 요소가 비어 있는 경우
• 면제 기한이 지난 경우

관문 안에 면제의 자리를 만들어 두어야 하는 이유는?

• 면제가 있어야 검증 속도가 빨라지기 때문에
• 예외가 없는 관문은 급할 때 통째로 꺼지고 다시 켜지지 않기 때문에
• 면제 기록이 규제 기관의 필수 제출물이기 때문에
• 면제가 없으면 사유 코드를 집계할 수 없기 때문에