오래된 소스에서 발견된 키: 소스 시각과 키 수명의 차이

2026년 10월 4일 수정. 이전 글은 3년 된 키와 서울의 스타트업 침해를 실제 사건처럼 서술했고, Cremit의 소스 기록 시각을 키 발급일이나 교체일처럼 설명했습니다. 근거가 없는 부분을 걷어냈습니다. 이 글은 제품이 실제로 보여 주는 단서와 조치 전에 따로 확인할 기록을 설명합니다.

90일 기준은 무엇을 재는가

Cremit의 CRE-003 체크리스트는 마지막 확인 상태가 활성 또는 수동 활성인 자격증명 중 연결된 스캔 객체 하나 이상의 생성 시각이 90일보다 오래된 경우를 보여 줍니다. 이 시각은 소스 기록의 시각입니다. 키 발급일이나 마지막 교체일이 아니며, 키가 그 소스에 90일 내내 있었다는 증거도 아닙니다. 파일이 만들어진 뒤 한참 후에 키가 들어왔을 수 있습니다.

따라서 해당 항목은 소스 기록과 발급처를 조사하라는 단서로 봐야 합니다. 연결된 소스에 키가 처음 들어온 시점, 현재도 발견되는지, 관련 작업의 담당자, 키의 현재 유효성을 확인하세요. 발급처에서 안전하게 상태를 확인할 방법이 없다면 미확인으로 남겨야 합니다. 소스 시각만으로 키 수명을 확정할 수는 없습니다.

따로 모아야 할 네 가지 기록

1. 소스 기록: 저장소와 파일 또는 객체, 관련 커밋, 접근 범위, 키가 처음 확인된 시점입니다. 오래된 객체 시각은 실제 노출 기간보다 앞설 수 있습니다. 연결된 소스와 승인된 범위에서 다른 복사본을 찾고, 검사 범위 밖의 위치도 적습니다.

2. 발급처 기록: 키를 발급한 서비스, 확인 가능한 발급일, 현재 상태, 권한, 제한 조건, 마지막 사용 정보입니다. AWS IAM 사용자 액세스 키라면 IAM에서 키를 관리하고 자격증명 보고서에서 상태와 마지막 사용 항목을 볼 수 있습니다. 다만 그 보고서는 IAM 관리 자격증명만 다루며 서비스별 자격증명 전체 목록은 아닙니다.

3. 연결 작업 기록: 현재 담당자와 실제로 키를 쓰는 시스템입니다. 발견 위치가 곧 의존 관계도는 아닙니다. 값을 교체하기 전에 어느 배포·작업·서비스가 읽는지 담당자에게 확인하세요. 문서에 복사된 값이 지금도 운영 중인 작업에 쓰인다고 가정하지 마세요.

4. 활동 기록: 조사 기간의 발급처 감사 로그와 관련 증거입니다. 마지막 사용 항목은 조사 출발점이지만 사용이 정당했는지까지 말해 주지는 않습니다. 로그가 없는 구간을 기록하고 실제로 관찰한 접근과 가능한 공격 경로를 구분합니다.

근거에 맞춰 조치하기

민감한 키가 노출됐고 아직 작동할 수 있다면 발급처에서 신속한 차단을 우선합니다. 연결 작업의 교체를 조율하고, 이전 값을 비활성화하거나 폐기한 뒤 더는 통하지 않는지 확인합니다. 시급성을 결정하는 것은 노출 범위, 권한, 현재 유효성이지 추정한 발급일이 아닙니다. 이미 무효인 키라면 그 결과를 기록하고 승인된 소스의 불필요한 복사본을 정리합니다.

AWS IAM 사용자 키는 관리자 권한으로 생성, 비활성화, 삭제할 수 있습니다. AWS 문서는 비활성화는 되돌릴 수 있고 삭제는 최종적이라고 구분합니다. 운영 중인 작업의 교체를 준비해야 하지만 침해가 의심되는 상황에서 모든 작업을 옮길 때까지 절대 폐기하지 말라는 규칙을 적용해서는 안 됩니다. 이 체크리스트의 90일은 조사 대상을 추리는 기준이지 AWS가 모든 키에 요구하는 교체 주기나 키 수명의 증거가 아닙니다.

Cremit이 답할 수 있는 범위

Cremit은 연결된 소스와 지원하는 자격증명 유형 안에서 발견 위치와 마지막 확인 상태를 보여 주고 조사 출발점을 제공합니다. CRE-003 조건은 발급처의 키 생성일을 읽거나 전체 의존 관계를 추론하지 않습니다. 지원하는 AWS·GCP 키에는 접근 범위 분석을 제공하지만 현재 계정과 작업 맥락에서 권한을 해석해야 합니다. 교체와 폐기는 발급처에서 실행하고 담당자가 완료 여부를 확인해야 합니다.