시크릿 확산과 워크로드 신원 확산의 차이

시크릿 확산은 자격증명 복사본이 저장소, 문서, 이미지 등 검사 대상 소스 여러 곳에 남는 문제입니다. 워크로드 신원 확산은 서비스 계정, 역할 같은 기계 주체와 권한이 늘어나지만 담당자나 종료 시점이 불분명한 문제입니다. 권한 주체는 접근 권한을 가진 대상이고 키나 토큰은 인증 수단입니다. 두 문제가 겹칠 수는 있지만 복사본 수를 세어 신원 수로 삼을 수는 없습니다.

서로 다른 조치가 필요한 두 가지 예

서비스 계정 키 하나가 코드 저장소, 내부 문서, 게시된 이미지에서 발견됐다고 가정해 보겠습니다. 권한 주체 하나에 복사본이 여러 개 있는 경우입니다. 저장소의 한 줄을 삭제해도 키는 무효가 되지 않고 다른 복사본도 남습니다. 발급 계정, 키를 쓰는 작업과 접근 범위를 확인하고 발급처에서 키를 교체하거나 폐기한 뒤 나머지 위치를 살펴야 합니다. 이 위치는 설명을 위한 예시이며 특정 고객의 사례가 아닙니다.

반대로 여러 서비스 계정과 역할에 쓰이지 않는 권한이 남았지만 검사한 소스에서는 내보낸 키가 발견되지 않을 수 있습니다. 그래도 권한과 담당자 문제는 남습니다. 검사 결과가 깨끗해도 검사하지 않은 소스의 상태는 알 수 없고, 모든 권한 주체가 필요한지 판단할 수도 없습니다. 발급처의 신원 목록과 사용 기록을 따로 확인해야 합니다.

복사본 기록과 권한 주체 기록을 나누세요

발견한 복사본에는 가린 식별자나 안전하게 보호한 지문, 발견 위치, 검사 범위와 시각, 상태, 작성자 단서를 기록합니다. 원본 시크릿을 조치 문서에 붙여 넣지 마세요. 소스 작성자는 연락할 사람을 찾는 단서일 수 있지만 현재 서비스 담당자로 확정할 수는 없습니다.

권한 주체에는 발급처와 주체 ID, 사용하는 서비스나 작업, 환경, 확인 가능한 실제 권한, 담당자, 마지막 사용 기록과 종료 결정을 적습니다. 발급처 키 ID나 보호된 지문으로 확인할 수 있을 때 두 기록을 연결합니다. 발급처나 주체를 모르면 미확인으로 남겨 두세요. 패턴 일치만으로 어느 주체의 키인지 입증할 수는 없습니다. Google Cloud는 서비스 계정의 애플리케이션과 연락처를 기록하도록 권하고, AWS는 사용하지 않는 권한을 검토하고 워크로드에 임시 자격증명을 쓰도록 권합니다.

발급처에서 조치하세요

노출이 확인된 자격증명은 이를 쓰는 작업을 찾고 발급처에서 교체하거나 폐기한 뒤, 작업 설정을 바꾸고 확인 가능한 사용 기록과 복사본을 점검합니다. 쓰지 않는 권한 주체는 의존 관계를 확인한 뒤 발급처 절차에 따라 비활성화하거나 삭제하고 권한을 회수합니다. 키 하나를 교체해도 다른 낡은 신원은 남고, 신원 하나를 삭제해도 다른 노출 키가 사라지지는 않습니다. OWASP도 시크릿 노출과 부적절한 종료 처리를 별도 위험으로 다룹니다.

Cremit이 돕는 범위

Cremit은 지원하는 연결 소스에서 자격증명 패턴을 찾고, 지원 유형은 발급처 상태를 확인합니다. 확인 가능한 AWS·GCP 접근 정보와 소스 작성자 단서를 발견 결과에 더할 수 있습니다. 모든 실행 중인 워크로드나 모든 복사본을 열거하거나, 서비스 담당자를 확정하거나, 악용을 입증하거나, 자격증명을 자동 폐기하지는 않습니다. 발견 결과에서 두 기록의 조사를 시작하고 담당자를 확인한 뒤 발급처에서 조치해야 합니다.