피드로 돌아가기
Dev.toSecurity
원문 읽기
ed25519 도입 및 Git Registry 기반 SSH Key Life-cycle 관리 체계 구축
SSH Key Management at Scale: Generating, Rotating, and Revoking Keys Across Teams
AI 요약
Context
기존 SSH 키 관리의 수동적 운영으로 인한 Key Sprawl 현상 및 만료 메커니즘 부재를 분석. 퇴사자 권한 회수 누락과 중앙 집중식 가시성 결여로 인한 보안 취약점 발생을 핵심 문제로 정의.
Technical Solution
- 보안성과 성능 최적화를 위한 ed25519 알고리즘 기반의 키 생성 표준 수립
- Private Key 탈취 위험 방지를 위해 Passphrase 적용 및 ssh-agent를 통한 세션 메모리 관리 구조 채택
- 서비스 영향도 분리를 위해 Host별 IdentityFile을 지정하는 Context-based Key 분리 설계
- Git Repository를 Single Source of Truth로 활용하여 Public Key와 서버 매니페스트를 동기화하는 Registry 구조 도입
- authorized_keys 내 Command 제한 및 Metadata Comment를 활용한 선언적 권한 제어 및 만료일 추적 로직 구현
- 정기적 스캔 스크립트를 통한 Orphaned Key 식별 및 자동 Revocation 프로세스 정립
실천 포인트
- RSA 대신 ed25519 알고리즘 사용 및 KDF rounds(-a 100) 설정 검토 - ~/.ssh/config 내 IdentitiesOnly yes 설정을 통한 MaxAuthTries 인증 실패 방지 - Public Key Comment 필드에 소유자, 팀, 만료일 등의 Metadata 포함 여부 확인 - 분기별 정기 SSH Key Audit 일정 수립 및 스캔 스크립트 실행