Fedora 45, 소프트웨어 패키지의 고유 식별을 위한 PURL 메타데이터 사용 검토 중

PURL 사양은 다양한 생태계와 도구 전반에서 소프트웨어 패키지를 식별하고 추적하는 데 도움을 주는 "대체로 범용적인" URL 역할을 하는 것을 목표로 합니다. 이는 표준화된 URL 기반 구문을 통해 소프트웨어 패키지를 식별하기 위한 단순하고 일관되며 유연한 접근 방식이 되고자 합니다.

PURL은 npm, Nuget, Gem, Docker Hub, PyPi 등과 같은 다양한 패키지 관리 솔루션 및 프로토콜에서 작동할 수 있습니다. 또한 선택적으로 패키지의 특정 버전을 지정하는 등의 기능을 포함할 수 있습니다.

PURL은 SPDX SBOM 형식부터 기타 도구 및 소프트웨어 취약점 데이터베이스에 이르기까지 다양한 오픈 소스 프로젝트에서 채택되고 있습니다. Fedora가 PURL 메타데이터 생성을 시작함으로써 업스트림 (upstream) 프로젝트를 패키지에 매핑하는 데 도움이 되기를 기대하고 있습니다.

"이 변경 사항은 어떤 패키지에 어떤 프로젝트의 코드가 포함되어 있는지 식별하는 것을 더 쉽고 신뢰할 수 있게 만드는 것을 목표로 합니다. 이를 통해 보안 취약점에 영향을 받는 패키지를 더욱 신뢰성 있게 식별할 수 있습니다. 또한, 이 메타데이터는 (컨테이너) 이미지에 포함된 콘텐츠에 대한 SBOM을 생성하는 데 유용할 수 있습니다."

Fedora 45부터 PURL 메타데이터 생성을 시작하자는 변경 제안은 현재 이 스레드를 통해 논의 중이며, Fedora 엔지니어링 및 운영 위원회 (Engineering and Steering Committee)의 투표를 거쳐야 합니다.

Package-URL "PURL" 사양 자체에 대해 더 자세히 알고 싶은 분들은 GitHub에서 확인할 수 있습니다.