2026년 10월 7일
MCP 서버의 API 키는 헤더가 아닌 대화창을 거쳐 전달됩니다
공식 MCP 레지스트리의 원격 서버마다 initialize 요청을 한 번씩 보냈습니다. 응답한 22,027곳 중 71.3%가 헤더 인증 없이 세션을 허용했고, 도구 인자로 전달되는 자격증명 필드는 3,705개였습니다. 그중 마스킹 대상으로 지정된 필드는 3개뿐이었습니다.
김동현
블로그로 돌아가기
태그
Secret Detection
글 20개
2026년 8월 5일
탐지 건수와 살아 있는 키 수를 따로 세는 법
발견 위치, 고유 자격증명, 마지막 유효성 상태는 다른 숫자입니다. 범위와 확인 시각을 정한 뒤 보고하는 방법을 설명합니다.
김동현
2026년 7월 28일
노출된 자격증명에서 조치까지: Cremit Platform의 실제 지원 범위
Cremit Platform이 노출된 자격증명을 찾고 지원 유형을 검증해 담당자 조치로 연결하는 방법과 범위.
김동현
2026년 7월 22일
시크릿 스캐닝 오탐: 탐지 결과를 검토하는 법
패턴 오탐, 폐기된 키, 검증할 수 없는 키는 대응이 다릅니다. 결과를 구분하고 노출 자격증명의 처리 순서를 정하는 방법을 살펴봅니다.
김동현
2026년 7월 15일
노출된 API 키 뒤의 머신 접근을 확인하는 법
노출된 키는 조사 단서입니다. 발급처, 계정, 권한, 사용 작업, 담당자를 찾아 접근 경로를 닫는 순서입니다.
김동현
2026년 4월 30일
자격증명 노출 패턴 8가지와 대응 순서
NHI 자격증명 노출 패턴 여덟 가지를 실제 점검 신호와 대응 순서로 정리했습니다.
김동현
2026년 4월 29일
AITU CTF Final 2026 풀이: DMZ에서 DEV까지
2026년 4월 AITU CTF Final에서 직접 확인한 DMZ 취약점, DEV 피벗, 컨테이너 탈출과 JWT 검증 실패를 정리했습니다. 성공하지 못한 경로도 구분해 기록했습니다.
김태범
2026년 4월 17일
저장소와 티켓에서 같은 키를 발견했다면
서로 다른 소스 유형 두 곳의 발견 기록만으로 키의 이동 경로를 알 수는 없습니다. 접근 범위와 발급처 상태, 담당자를 확인하세요.
김동현
2026년 4월 15일
"범위 밖"이라는 면죄부: 버그바운티는 왜 자격증명 노출을 외면하는가
조직의 핵심 자격증명이 공개 저장소에 수년간 방치되었다. 보안 업계의 답은 "Out of scope."
김동현
2026년 4월 11일
같은 API 키가 저장소 세 곳에서 발견됐다면
발견 위치 세 곳만으로 실제 사용처를 모두 알 수는 없습니다. 키 종류와 발급처 상태, 권한, 연결 작업을 확인하세요.
김동현
2026년 4월 10일
90일 넘은 소스에 발견된 키: 확인해야 할 것
오래된 소스 기록과 활성 키만으로 키 수명을 알 수는 없습니다. 값이 들어온 시점과 발급처 상태, 권한, 연결 작업을 확인하세요.
김동현
2026년 4월 5일
사고 대응 대화와 티켓에서 API 키를 발견했다면
저장소 밖에서 키를 찾았다면 발견 위치의 접근권한, 발급처 상태, 담당자와 조치 결과를 따로 확인해야 합니다.
김동현
2026년 3월 17일
공개 저장소에 API 키가 노출됐다면 먼저 확인할 것
공개 커밋은 노출의 근거이지 악용의 증거는 아닙니다. 키의 유효성, 권한, 발급처 기록, 연결 작업을 확인하는 순서입니다.
김동현
2025년 4월 23일
키 교체 기록만으로는 노출 위치를 알 수 없다
라이프사이클 기록은 계획된 접근을, 시크릿 탐지는 연결한 소스에서 발견된 복사본을 보여줍니다. 두 기록을 대조해 조치할 키와 담당자를 정하세요.
김동현
2025년 4월 18일
CI/CD 파이프라인에서 키가 남는 세 곳
키는 Git 기록, 빌드 출력, 게시 이미지에 남을 수 있습니다. 각 경계에 맞는 검사를 하고 실제 노출은 발급처에서 확인해야 합니다.
김동현
2025년 4월 14일
Git 푸시 전후의 시크릿 검사와 대응
푸시 전에 발견한 키는 변경 내용에서 제거할 수 있습니다. 이미 Git 기록에 남았다면 커밋을 지워도 발급처에서 키를 폐기하거나 교체해야 합니다.
김동현
2025년 4월 14일
S3 객체에서 자격증명을 찾았다면 확인할 것
S3의 키 패턴만으로 공개 노출이나 유효성, 악용을 알 수는 없습니다. 객체 접근, 발급처 상태, 스캔 범위와 이전 버전을 나눠 확인하세요.
김동현
2025년 4월 4일
데이터 유출 비용, 노출된 키 한 건으로 알 수 있을까?
유출 사고의 평균 비용으로 키 한 건의 피해액을 계산할 수는 없습니다. 발견 위치, 발급처 상태, 접근·활동 기록과 실제 조치 비용을 나눠 확인하세요.
김동현
2024년 11월 17일
프런트엔드 API 키 노출: 공개 키와 비밀 키 구분하기
브라우저에 보이는 키가 공개용인지 비밀 키인지 발급처에서 확인하고, Resend 사고와 빌드 결과를 근거로 대응합니다.
김동현
2024년 2월 26일
시크릿 탐지란? 패턴 일치부터 키 조치까지
시크릿 탐지는 실제 검사한 내용에서 자격증명 후보를 찾습니다. 발견 결과가 뜻하는 것과 검사 범위, 발급처 확인, 노출된 키의 조치 순서를 설명합니다.
김동현