피드로 돌아가기
GeekNewsSecurity
원문 읽기
CISA 관리자가 AWS GovCloud 키를 GitHub에 유출
정부기관의 Plaintext 자격 증명 유출로 본 Secrets Management 설계 실패 사례
AI 요약
Context
정부 기관(CISA) 하청업체가 GitHub를 단순 파일 동기화 도구로 오용하여 AWS Key 및 내부 시스템 계정 정보를 포함한 CSV 파일을 Public 저장소에 노출함. 기존의 비밀번호 기반 인증 체계와 .gitignore 중심의 단순한 관리 방식이 LLM 기반의 데이터 유출 경로라는 새로운 공격 벡터를 방어하지 못한 구조적 한계를 보임.
Technical Solution
- Plaintext 환경 변수 관리를 대체하기 위한 SOPS 기반의 파일 암호화 및 direnv를 통한 런타임 주입 구조 설계
- .gitignore의 추상화 한계를 극복하기 위해 .aiignore 및 .claudeignore를 도입하여 LLM 컨텍스트 window로의 민감 정보 유입 차단
- Static Credentials 의존성을 제거하고 OIDC 기반의 Role-based Access Control을 통한 Short-lived Token 체계 전환
- Secrets Manager 및 KMS(Key Management Service)를 활용하여 애플리케이션 코드와 설정값의 완전한 분리 구현
- Local Secrets의 중요도를 낮추기 위해 개발 계정과 운영 계정의 권한을 엄격히 격리하는 환경 설계
- GitHub Secret Scanning 기능을 강제화하고 TruffleHog 등의 외부 정적 분석 도구를 통한 지속적 감사 파이프라인 구축
실천 포인트
- .env 파일의 Plaintext 저장을 금지하고 SOPS나 Vault로 전환했는가? - .aiignore 설정을 통해 LLM 에이전트가 민감 파일(.pem, .env)을 읽지 않도록 제한했는가? - AWS IAM User의 Long-term Access Key 대신 OIDC 기반의 임시 자격 증명을 사용하는가? - 중요 설정값을 KMS 암호화 기반의 Parameter Store나 Secrets Manager에서 동적으로 호출하는가? - 개발 환경의 자격 증명이 운영 환경의 리소스에 접근할 수 없도록 권한 격리가 이루어졌는가?