노출된 API 키와 머신 접근: 조사 순서

2026년 10월 4일 수정. 이전 글에는 출처가 없는 특정 조직의 사고 서술, 모든 노출 토큰이 곧 악용된다는 단정, 전 표면 실시간 탐지와 자동 키 교체를 전제로 한 질문이 있었습니다. 근거와 현재 Cremit Platform의 지원 범위를 벗어난 표현을 걷었습니다. 자격증명을 찾았을 때 실제로 살펴볼 것은 그 키가 어떤 접근을 허용하고, 누가 그 접근을 닫을 수 있는지입니다.

자격증명은 접근의 단서이지 신원 전체가 아닙니다

API 키나 서비스 토큰은 작업 또는 계정을 인증할 수 있습니다. 문자열만으로는 서비스 담당자, 계정의 권한, 제3자의 사용 여부를 알 수 없습니다. 저장된 고정 키 대신 역할이나 연동을 통해 단기 자격증명을 받는 작업도 있습니다. AWS는 가능하면 장기 액세스 키보다 임시 자격증명을 사용하라고 권합니다. 비인간 신원은 계정이나 작업과 그 접근 경로를 가리키며, 모든 시크릿 문자열과 같은 말은 아닙니다.

공개 저장소나 공유 문서에서 키를 발견했다면 그 위치의 노출은 확인한 것입니다. 유효성, 실제 사용, 침해까지 확인한 것은 아닙니다. 스캐너는 접근하지 못하는 소스나 지원하지 않는 종류를 놓칠 수 있습니다. GitHub도 지원 패턴과 유효성 확인 범위를 문서로 공개합니다. 경고가 없다는 이유만으로 안전하다고 판단하지 마세요.

발견한 키를 서비스와 담당자에 연결합니다

발견 위치와 확인 가능한 최초 시각을 기록합니다. 발급처, 키 종류, 연결된 계정, 권한, 만료일, 키를 쓰는 작업을 찾습니다. 서비스 담당자와 조율할 조사 담당자를 정하세요. 파일을 커밋한 사람은 조사 단서일 수 있지만 실제 담당자는 따로 확인해야 합니다.

안전하게 확인할 수 있는 지원 유형은 발급처에 유효성을 묻고, 그 밖의 종류는 담당자와 발급 서비스에서 조사합니다. 교체 전에 연결 작업을 파악해 새 키 없이 운영이 멈추지 않게 하되, 노출된 값이 살아 있는 시간은 줄입니다. OWASP는 시크릿의 생성, 교체, 폐기, 만료를 각각 관리할 단계로 다룹니다.

발급처에서 접근을 닫고 결과를 확인합니다

키를 발급처에서 폐기하거나 교체한 뒤 이전 값이 통하지 않고 새 값을 쓰는 작업이 정상인지 확인합니다. 발급처의 로그에서 수상한 사용을 살피되 기록 범위와 보존 기간을 함께 확인합니다. 검색 결과가 비어 있다는 사실만으로 사용 이력이 없었다고 할 수는 없습니다. 노출된 복사본을 지우고 유출 경로도 고칩니다. GitHub는 저장소 기록을 정리하기 전에 키를 먼저 폐기하거나 교체하라고 안내합니다.

연결한 검사 소스, 실제로 작동하는 것으로 확인된 결과, 담당자, 발급처 폐기 확인 시각, 아직 모르는 사항을 기록하세요. 대응 시간을 측정한다면 시작과 종료 이벤트를 먼저 정의해야 합니다. 모든 노출이 몇 분 만에 악용된다거나 완전한 예방이 가능하다고 단정할 근거는 없습니다.

Cremit이 맡는 범위

Cremit Platform은 지원하는 연결 소스와 승인된 외부 노출 표면에서 자격증명을 찾고, 지원 유형은 발급처에 유효성을 확인하며, 결과를 담당자에게 배정해 추적할 수 있습니다. 모든 소스를 실시간으로 검사하거나 모든 담당자를 자동 추론하거나 공격자의 사용을 입증하거나 키를 자동으로 폐기·교체하지는 않습니다. 접근 정책, 로그, 최종 조치는 발급처와 애플리케이션 담당자가 확인해야 합니다.