HardenedBSD

HardenedBSD는 FreeBSD 기반의 보안 강화 운영체제다. 2014년 Oliver Pinter와 Shawn Webb이 시작했으며, 운영체제의 기본 설계와 호환성을 활용하면서 메모리 손상 취약점의 악용을 어렵게 하는 완화 기술, 시스템 구성 강화와 보안 중심 개발 절차를 발전시키...

분류	보안 강화 BSD 계열 운영체제
기반	FreeBSD에서 분기
시작	2014년
설립자	Oliver Pinter, Shawn Webb
주요 기술	ASLR, 실행 완화 기법, 시스템 강화
개발 상태	개발 중
공식 웹사이트	hardenedbsd.org

HardenedBSD는 FreeBSD 기반의 보안 강화 운영체제다. 2014년 Oliver Pinter와 Shawn Webb이 시작했으며, 운영체제의 기본 설계와 호환성을 활용하면서 메모리 손상 취약점의 악용을 어렵게 하는 완화 기술, 시스템 구성 강화와 보안 중심 개발 절차를 발전시키고 있다.^[1]

역사

프로젝트의 출범

Oliver Pinter와 Shawn Webb은 FreeBSD에서 주소 공간 배치 난수화(ASLR)를 개선하는 작업을 별도로 진행한 뒤 협업을 확대했다. 보안 개선 사항을 통합해 개발하기 위한 독립 코드베이스가 형성되었고, 2014년 HardenedBSD라는 프로젝트로 자리잡았다. 출발점은 ASLR이었지만, 이후 운영체제 전반의 보안 강화를 다루게 되었다.

FreeBSD와의 관계

HardenedBSD는 FreeBSD를 기반으로 하기 때문에 시스템 호출, 사용자 공간 도구, 서비스 관리와 패키지 생태계 상당 부분을 계승한다. 독자적인 보안 패치와 배포판 구성이 추가되므로 FreeBSD 릴리스와 HardenedBSD 릴리스를 완전히 같은 것으로 취급할 수 없다. 프로젝트는 보안 개선을 다른 BSD 프로젝트와 공유하는 방향도 목표로 제시한다.

현대 개발

HardenedBSD는 2026년에도 소스 트리, 포트, 릴리스 이미지와 보안 갱신을 유지하고 있으며 개발 현황을 정기적인 보고서로 공개한다. 개발자가 FreeBSD의 변경 사항을 선별적으로 통합하면서 자체 보안 기술과 호환성을 유지한다.^[2]

보안 설계

다층적 방어

취약점을 완전히 제거한다는 하나의 가정에 의존하기보다, 공격자가 프로그램 제어 흐름을 장악하거나 권한을 확대할 때 여러 독립적인 장벽을 만나게 하는 방식이다. 코드 감사, 보안 기본값, 메모리 배치의 예측 가능성 감소, 실행 환경 제한과 컴파일 시 강화 설정이 서로 보완할 수 있도록 설계한다.

ASLR

주소 공간 배치 난수화는 프로그램 코드, 라이브러리, 스택 또는 메모리 매핑의 위치를 예측하기 어렵게 한다. 공격자가 특정 메모리 주소에 의존하는 기법을 적용하기 어렵게 만들지만, 메모리 정보를 노출하는 취약점과 결합한 공격을 단독으로 해결하지는 않는다. 프로그램의 위치 독립 실행 파일(PIE) 지원도 주소 공간 보호와 관련된다.^[3]

실행 완화와 하드닝

메모리 접근과 실행 권한 분리, 컴파일러·링커의 보안 옵션, 프로그램 로딩 정책, 시스템 서비스의 특권 최소화 등을 함께 다룬다. 실제 적용되는 기술과 기본값은 아키텍처와 릴리스에 따라 달라지므로 개별 완화 기법의 제공 여부는 공식 문서와 해당 버전의 구성을 확인해야 한다.

커널과 사용자 공간

HardenedBSD는 FreeBSD 계열의 모놀리식 커널과 UNIX 프로세스 모델을 제공한다. 커널은 가상 메모리, 장치 접근, 파일 시스템과 네트워크를 처리한다. 사용자 공간에는 셸, 시스템 도구, 공유 라이브러리와 데몬이 포함되고, 보안 강화는 커널 한 부분뿐 아니라 컴파일 옵션과 사용자 공간 구성에도 적용될 수 있다.

소프트웨어와 패키지

FreeBSD Ports Collection에서 이어지는 포트 기반 소프트웨어 생태계와 바이너리 패키지를 활용한다. 보안 강화 빌드와 외부 코드의 호환성을 유지하기 위해 독립적인 빌드·테스트 작업이 필요할 수 있다. 타 FreeBSD 파생판의 저장소를 무분별하게 혼용하는 대신 HardenedBSD의 공식 배포 경로와 지원되는 버전을 기준으로 관리한다.

네트워크와 서비스

BSD 소켓 기반 네트워크, 시스템 서비스와 관리자 도구를 제공한다. 서버 환경에서는 서비스가 불필요한 권한이나 파일 시스템 접근 범위를 갖지 않도록 구성하는 것이 중요하다. HardenedBSD가 제공하는 보호 기술은 방화벽 설정, 보안 패치, 접근 제어와 로그 관리 같은 기본 운영 보안 절차를 보완한다.

개발 환경과 검증

C와 C++ 등 시스템 프로그래밍 도구를 사용해 소프트웨어를 빌드하고 검증할 수 있다. 실행 완화 기법의 호환성 검사는 단순한 기능 테스트뿐 아니라 프로세스 시작, 공유 라이브러리 로딩, 예외 처리와 디버깅 동작을 포함한다. 일부 보안 정책은 과거의 비표준적인 프로그램 동작을 드러낼 수 있으므로 이식 작업에서는 동작 차이를 확인해야 한다.

OPNsense와의 관계

OPNsense는 과거 HardenedBSD 패치와 기반을 활용한 기간이 있었으나, 2021년 이후 FreeBSD를 직접 따라가는 방향으로 전환했다. 따라서 OPNsense의 현재 구조를 설명할 때 HardenedBSD를 영구적인 기반 운영체제로 적는 것은 정확하지 않다.^[4]

활용 분야

보안 강화된 서버, 연구·시험 환경, 시스템 하드닝과 소프트웨어 취약점 완화 기술 검증에 활용할 수 있다. FreeBSD의 사용성을 유지하면서 보안 정책을 추가하려는 개발자와 운영자를 대상으로 한다. 하드웨어 지원과 사전 빌드 패키지의 범위는 FreeBSD 원본과 다를 수 있다.

역사