[Quant-TheodoreFelix]

요약

main(0a5f546) 기준입니다. 1.0.1로 준비하던 릴리즈를 1.1.0으로 바꾸고, 그 위에 Windows(x86_64, aarch64) 지원을 올렸습니다. 2.0.0 버전 올림은 되돌렸습니다(dac3e98). 모든 단계가 끝났고 CI는 17개 잡이 모두 통과했습니다(bae9c24, run 41607421768). 실제 Windows PC에서 사람이 한 번 돌려보기 전까지는 초안으로 둡니다.

결정 사항

• 버전은 1.1.0입니다. 1.0.x는 지원을 끝냅니다(SECURITY 표).
• Windows 타겟은 x86_64와 aarch64 둘 다입니다.
• Windows 코어는 non-fips만 제공합니다(fips=false). kms-engine이 Windows 타겟에서 fips 기능을 컴파일 오류로 거부하고, Makefile은 Windows에서 FIPS=1을 거부합니다. 호스트의 GOFIPS140=certified는 유지하되, CMVP #5247의 시험 환경에 Windows가 있는지 확인되기 전까지 문서에는 "FIPS 모드 빌드, 검증된 운영 환경 여부 미확인"으로 적습니다.
• Go는 표준 라이브러리만 유지합니다(internal/winsys에 LazyDLL 바인딩). Rust는 windows-sys를 windows 타겟에만 추가합니다.
• 호스트와 코어 전송은 이름 있는 파이프와 상속 핸들(--handle N)입니다. 노드 디렉토리 기본값은 %LOCALAPPDATA%\pairier, 네트워크 드라이브는 거부, DACL은 소유자와 SYSTEM만 허용합니다(설정 파일은 Administrators도 허용).
• 감사 로그 잠금은 모든 플랫폼에서 audit.log.lock 사이드카 파일로 옮겼습니다.
• 1.1.0의 Windows 지원은 experimental로 표시합니다.
• 범위 밖입니다. Windows 서비스, Authenticode, standalone --socket 모드, Windows 코어 재현 빌드.

단계

• 0 버전 변경(e58622c), CI 중복 실행 제거(5caae6c), windows-sys 의존성과 vendor(bae820e), kms-sys 메모리 잠금 분리(8835101), core-windows 잡(67daa5a)
• 1 코어. 전송, 피어 검증, 하드닝, 루트 키 파일의 Windows 구현(e9fa56c), 테스트 헬퍼(40ff5bc)
• 2 호스트. spawn, store, audit lock, config, node 경로의 Windows 구현(cbb46a9), host-windows 잡(31ed59b), Go 1.27.3(ed53b4a), Windows 테스트 수정(0ae1df5, 910cd7b, 4522186, 9d1d312)
• 3 zip 배포와 Makefile(aa3efd5), 문서(bae9c24), 릴리즈 노트 초안

Windows CI에서 확인된 것

• 두 러너(windows-2025, windows-11-arm)에서 kms-sys, kms-engine, kms-core 테스트와 호스트 전체 테스트가 통과합니다. 이름 있는 파이프 전송, 피어 SID 검증, DACL 검사, 바이트 범위 잠금, 루트 키 파일 생성이 실제로 동작합니다.
• 프로세스 DACL은 적용된 내용(SYSTEM과 OWNER_RIGHTS 두 항목, OWNER_RIGHTS에 PROCESS_VM_READ 없음)을 읽어서 확인했습니다. 다만 러너 토큰에 SeDebugPrivilege가 켜져 있어 같은 사용자의 OpenProcess(PROCESS_VM_READ) 거부는 CI에서 검증되지 않았습니다. 상승되지 않은 세션에서 확인이 필요합니다.
• dist-windows 잡이 pairier-1.1.0-windows-amd64.zip, pairier-1.1.0-windows-arm64.zip과 SBOM을 만들어 산출물(pairier-windows-2025, pairier-windows-11-arm)로 올립니다.

실제 Windows PC에서 확인된 것

• 관리자 권한으로 올린 PowerShell에서 cargo test -p kms-sys를 돌리자 creates_private_file_and_reopens가 실패했습니다. 상승된 토큰은 새 객체의 기본 소유자를 Administrators 그룹으로 두는데, 코드가 소유자를 지정하지 않아 소유자 검사에 걸린 것입니다. CI 러너의 토큰은 UAC로 나뉘지 않아 드러나지 않았습니다.
• 수정은 두 겹입니다. 호스트와 코어가 만드는 모든 SDDL에 O:<사용자 SID>를 넣고, 두 프로세스가 시작할 때 자기 토큰의 기본 소유자를 현재 사용자로 바꿉니다(코어는 restrict_umask, 호스트는 winsys 초기화). 호스트의 SetPrivate는 소유자가 다르면 먼저 소유자를 바꿉니다. 비상승 세션에서는 이전과 같이 동작합니다.

CI 사용량

• push 트리거를 main과 태그로 한정해 브랜치 push와 PR의 중복 실행을 없앴습니다. 같은 ref의 이전 실행은 취소됩니다.
• Windows 잡은 PR, main, 태그에서만 돕니다. 공개 저장소라 표준 러너는 무료지만 푸시는 단계 단위로 모았습니다.

그 밖의 변경

• Go 툴체인을 1.27.3으로 올렸습니다. govulncheck가 1.27.2의 crypto/x509 취약점(GO-2026-6809)을 보고해 supply-chain 잡이 실패했기 때문입니다.

호환성

• 와이어와 봉투 형식은 바뀌지 않습니다. Windows 노드는 1.1.0의 Linux, macOS 노드와 상호 운용됩니다.
• 1.0.0 봉투 거부와 카드 갱신 요구는 #3과 같습니다.

병합 전 확인

• 모든 단계 완료와 CI 성공
• USAGE, SECURITY의 영어와 한국어 구조 일치
• 릴리즈 노트 초안 확정
• 실제 Windows PC의 상승되지 않은 세션에서 kmsctl node init, kmsd, 다른 OS 노드와 key push, 프로세스 DACL 거부 확인

병합 후

• v1.1.0 태그, make dist FIPS=1(Linux 두 아키텍처), 태그 CI의 pairier-windows-2025, pairier-windows-11-arm 산출물에서 zip과 cdx.json을 dist/로 복사
• dist/에서 SHA256SUMS를 다시 만든 뒤 서명. CI 산출물에는 .sha256 파일이 없으므로 sha256sum *.tar.gz *.zip *.cdx.json | LC_ALL=C sort > SHA256SUMS로 합치고, 각 Windows 산출물의 SHA256SUMS와 해시가 같은지 확인한 다음 make sign, make verify-dist, GitHub 릴리즈 게시
• origin/release/1.0.1 삭제 여부 결정