깃허브, 공개 코드의 스타링크 비밀키를 감지하면

원문 소식, 쉽게 읽기

깃허브는 11월 5일 스페이스X를 비밀키 탐지 협력사에 추가하고 스타링크 공개 API v2의 비밀키 형식을 감지하기 시작했다고 발표했다. API는 프로그램이 서비스에 요청을 보내는 통로이고, 비밀키는 그 요청을 보낼 자격을 증명하는 문자열이다. 서비스 이름에 ‘공개’가 들어가도, 요청에 쓰는 비밀키는 외부에 노출되면 교체해야 할 자격 증명이다. 출처 출처

가령 팀원이 비밀키를 넣어 둔 배포 설정 파일을 코드와 함께 공개 저장소에 올렸다고 하자. 깃허브가 지원하는 스타링크 비밀키 형식을 감지하면 발급사인 스페이스X에 알린다. 깃허브의 협력사 안내에 따르면 발급사는 감지된 문자열이 실제 키인지 확인한 뒤, 폐기하거나 새 키를 발급하거나 사용자에게 연락할지를 정한다. 감지와 통보, 기존 키의 효력 정지는 각각 다른 단계다. 출처 출처

깃허브는 AWS와 구글 등 기존 공급자의 일부 탐지 규칙도 조정했다. 예를 들어 AWS 액세스 키 ID가 발견돼도, 짝으로 쓰는 자격 증명 후보가 모두 필터에 걸러지면 그 ID를 비밀값으로 잘못 짚는 일을 줄이는 방식이다. 코드에 등장하는 문자열을 무조건 비밀키로 판단하는 대신, 주변에 함께 쓰이는 값도 살피는 사례다. 출처

OYOPICK의 시선

공개 저장소의 파일에서 키 한 줄을 지우는 일과 그 키로 접속할 수 없게 만드는 일은 따로 관리할 가치가 있다. 깃허브도 노출된 자격 증명은 먼저 폐기하거나 교체하라고 안내한다. 예를 들어 자동 배포가 그 키를 썼다면, 노출된 키의 효력이 끝났는지 발급사 쪽에서 확인하고 배포 환경이 새 키로 동작하는지 별도로 살펴야 한다. 이 두 결과를 팀이 기록해 두면 협력사 통보를 활용하면서도 서비스 복구를 놓치지 않을 수 있다. 출처 출처