2025년 8월 28일
Nx S1ngularity 사고: PR 제목에서 npm 토큰 탈취까지
2025년 8월 Nx 사고의 확인된 공격 경로와 악성 버전, 기기 점검 단서, 발급처 조치를 피해 규모 추정 없이 정리했습니다.
김동현
2025년 5월 29일
2025 DBIR로 본 자격증명 악용과 타사 연동 위험
Verizon 2025 DBIR의 자격증명 악용·타사 연루 수치를 살펴보고 팀이 점검할 자격증명 관리 절차를 정리했습니다.
김동현
2025년 4월 27일
Vercel 시크릿 노출: Next.js 브라우저 번들 확인법
Next.js 환경 변수가 브라우저로 나가는 경로를 확인하고 Stripe 공개 키와 비밀 키를 구분해 노출된 키를 교체하는 순서입니다.
김동현
2025년 4월 25일
OWASP NHI5: 머신 계정의 과도한 권한 확인하기
머신 계정의 권한을 줄이기 전에 작업에 필요한 접근, 발급처 정책, 실제 유효 접근, 사용 기록을 구분합니다.
김동현
2025년 4월 23일
키 교체 기록만으로는 노출 위치를 알 수 없다
라이프사이클 기록은 계획된 접근을, 시크릿 탐지는 연결한 소스에서 발견된 복사본을 보여줍니다. 두 기록을 대조해 조치할 키와 담당자를 정하세요.
김동현
2025년 4월 22일
OWASP NHI4:2025, 서비스 계정 인증 방식 점검하기
NHI4는 키 노출만의 문제가 아닙니다. OAuth 흐름과 정적 키, 토큰 권한, 인증 방식 교체 순서를 점검합니다.
김동현
2025년 4월 18일
CI/CD 파이프라인에서 키가 남는 세 곳
키는 Git 기록, 빌드 출력, 게시 이미지에 남을 수 있습니다. 각 경계에 맞는 검사를 하고 실제 노출은 발급처에서 확인해야 합니다.
김동현
2025년 4월 16일
MCP·A2A 보안: 에이전트와 도구 사이 자격증명 점검하기
MCP는 도구를, A2A는 에이전트를 연결합니다. 요청이 건너가는 지점마다 인증, 토큰 권한, 자격증명 노출을 확인하는 방법을 정리했습니다.
김동현
2025년 4월 14일
Git 푸시 전후의 시크릿 검사와 대응
푸시 전에 발견한 키는 변경 내용에서 제거할 수 있습니다. 이미 Git 기록에 남았다면 커밋을 지워도 발급처에서 키를 폐기하거나 교체해야 합니다.
김동현
2025년 4월 14일
S3 객체에서 자격증명을 찾았다면 확인할 것
S3의 키 패턴만으로 공개 노출이나 유효성, 악용을 알 수는 없습니다. 객체 접근, 발급처 상태, 스캔 범위와 이전 버전을 나눠 확인하세요.
김동현
2025년 4월 4일
데이터 유출 비용, 노출된 키 한 건으로 알 수 있을까?
유출 사고의 평균 비용으로 키 한 건의 피해액을 계산할 수는 없습니다. 발견 위치, 발급처 상태, 접근·활동 기록과 실제 조치 비용을 나눠 확인하세요.
김동현
2025년 4월 1일
사람 계정과 워크로드 신원, 권한 검토는 어떻게 다를까요?
사람과 워크로드 모두 권한을 가질 수 있습니다. 신원, 인증 수단, 담당자, 종료 처리에서 각각 무엇을 확인해야 하는지 비교합니다.
김동현
다음 글을 놓치지 마세요
자격증명 보안을 다루는 Cremit의 월간 브리프입니다.