Arch Linux 도커 이미지, 드디어 '비트 단위로 똑같이' 만들어진다

재현 가능한 빌드가 뭐길래

Arch Linux가 드디어 bit-for-bit reproducible Docker image를 제공하기 시작했어요. 이 말이 좀 어렵게 들릴 수 있는데요, 풀어서 설명하면 이래요. 누가, 언제, 어디서 빌드하든 완전히 똑같은 바이트가 나오는 도커 이미지를 만들 수 있게 됐다는 뜻이에요. 해시값까지 동일하게요.

"당연한 거 아닌가?" 싶을 수 있는데, 의외로 이게 엄청 어려운 문제거든요. 평범하게 도커 이미지를 빌드하면 파일의 타임스탬프, 패키지 설치 순서, 임시 파일의 경로, 심지어 빌드 서버의 시간대까지 이미지에 섞여 들어가요. 그래서 같은 Dockerfile로 빌드해도 결과 이미지의 해시가 조금씩 달라져요. 눈에 보이는 동작은 같은데, 내부 바이트는 달라지는 거죠.

왜 이게 중요할까 — 공급망 보안 이야기

이게 단순히 결벽증 문제가 아니에요. 소프트웨어 공급망 공격(supply chain attack)을 막는 핵심 장치거든요. 예를 들어 누가 배포 서버를 해킹해서 악성 코드가 숨겨진 이미지를 올려놨다고 생각해봐요. 평소라면 이걸 어떻게 검증할까요? 대부분은 '믿고 쓴다'예요. 근데 재현 가능한 빌드가 있으면, 내가 로컬에서 똑같이 빌드해서 해시를 비교해볼 수 있어요. 해시가 다르면 '아, 누가 건드렸구나' 하고 바로 알 수 있죠.

이런 개념은 2013년쯤 Debian의 Reproducible Builds 프로젝트에서 본격적으로 시작됐어요. NixOS나 Guix 같은 배포판은 이 철학을 아예 핵심 설계로 삼고 있고요. 근데 Arch는 '롤링 릴리즈(rolling release)'라서 패키지가 수시로 바뀌어요. 그래서 재현 가능한 빌드를 붙이기가 유독 까다로웠는데, 이번에 그걸 해냈다는 게 의미 있는 거예요.

어떻게 가능하게 만들었을까

기술적으로 몇 가지 트릭이 들어갔어요. 첫째, SOURCE_DATE_EPOCH 환경변수를 사용해서 빌드 중 생성되는 모든 파일의 타임스탬프를 고정된 값으로 맞췄어요. 이게 뭐냐면, 빌드 툴들한테 "지금 시간 말고 이 시간을 써"라고 알려주는 표준 변수예요. tar로 이미지를 만들 때, 파일 생성 시간을 모두 이 값으로 덮어쓰는 거죠.

둘째, 파일 시스템 엔트리의 정렬을 결정론적으로(deterministic) 처리했어요. 보통 파일 시스템은 파일 순서가 OS나 실행 환경에 따라 미묘하게 달라져요. 그래서 tar로 묶을 때 '알파벳 순으로 정렬해서 담기'처럼 명시적인 규칙을 적용하지 않으면 이미지 바이트가 달라져요.

셋째, 패키지 캐시와 pacman 데이터베이스의 메타데이터까지 다 통제했어요. Arch는 pacman이라는 패키지 매니저를 쓰는데, 얘가 설치 로그에 타임스탬프를 남기거든요. 이런 사소한 부분까지 전부 잡아냈다는 게 대단한 거죠.

업계 흐름에서의 위치

요즘 소프트웨어 업계 전체가 공급망 보안에 민감해지고 있어요. SolarWinds 사건 이후로 미국 정부는 SBOM(Software Bill of Materials)을 사실상 의무화했고, SLSA 프레임워크 같은 공급망 무결성 표준도 빠르게 자리 잡고 있거든요. Sigstore나 in-toto 같은 서명/검증 도구들도 이런 흐름이에요.

재현 가능한 빌드는 이 생태계의 '최종 검증 수단'이에요. 서명이 위변조됐는지, 빌드 서버가 뚫렸는지, 모든 걸 의심해야 할 때 결국 기댈 수 있는 건 '내가 직접 빌드해서 해시 비교하기'예요. Arch 같은 메이저 배포판이 여기에 합류했다는 건, 이제는 주류 리눅스 세계 전체가 이 방향으로 간다는 신호로 읽을 수 있어요.

한국 개발자에게 주는 시사점

실무에서 당장 뭘 할 수 있을까요? 만약 여러분이 CI/CD 파이프라인을 운영한다면, 지금 쓰는 베이스 이미지가 재현 가능한지 한 번쯤 확인해볼 만해요. 특히 금융, 의료, 공공 같은 규제 산업에서는 앞으로 이게 감사(audit) 요구사항으로 들어올 가능성이 높아요.

로컬 개발 환경에서도 유용해요. 도커 이미지 캐싱이 꼬여서 '어제는 됐는데 오늘은 안 돼' 같은 상황, 다들 겪어보셨죠? 재현 가능한 빌드가 정착되면 이런 문제가 근본적으로 줄어들어요. NixOS나 Guix까지 가지 않더라도, Arch 컨테이너로 개발 환경을 표준화하는 선택지가 생긴 거예요.