CircleCI가 시크릿값을 탈취당한 흔적이 발견되어 지난 4일 CircleCI에서 이를 공지했고 이후 지속적으로 취해야할 조치와 발견된 정보를 공유했습니다. 13일 전체 보고서가 올라온 것으로 보아 CircleCI측에서 취해야할 조치는 완료된 것으로 보입니다. 이건 꽤 큰 보안 사고이고 CircleCI를 쓰고 있다면 반드시 모든 시크릿값을 로테이트시켜야 합니다. 12월 21일부터 1월 4일까지 CircleCI 내부 로그에서 공격자가 시크릿값에 접근할 수 있었던 흔적이 발견되었고 특정 시크릿값이 노출되었다기 보다 모든 시크릿에 접근할 수 있었기 때문에 CircleCI에서 사용했던 모든 시크릿의 로테이션을 권고하고 있습니다. CI를 돌릴때 AWS에 접속하거나 GitHub에 접근하기 위해 시크릿으로 저장해 놓은 토큰이나 비밀 번호등이 다 이에 해당합니다. 단순히 CircleCI에서 프로젝트를 지우거나 하는 걸로 해결될 문제가 아니고 해당 토큰이나 비밀번호를 다른 곳에서도 공용으로 쓰고 있다면 문제가 되기 때문에 해당 토큰을 아예 만료시키고 새토큰을 등록해야 하므로 일이 꽤 커지게 됩니다. 그나마 다행(?)으로 CircleCI에서 발빠르게 공지하고 GitHub, GitLab, BitBucket등과 협업해서 자동으로 갱신할 수 있는 OAuth 등의 토큰은 모두 로테이트 시켰고 AWS와 협업해서 사용자에게 영향받는 키를 알려주거나 CircleCI에서 시크릿을 검색할 수 있는 도구도 제공하고 있습니다. 혹시 CircleCI를 쓰고 있다면 해당 공지를 꼭 참고해 보시길 바랍니다. 시크릿 관리는 최소한의 권한으로 세분화해서 만드는게 가장 좋겠지만 현실적인 어려움이 있어 항상 고민하지만 좋은 수가 잘 떠오르지 않네요.

CircleCI security alert: Rotate any secrets stored in CircleCI (Updated Jan 12)

CircleCI

CircleCI security alert: Rotate any secrets stored in CircleCI (Updated Jan 12)

다음 내용이 궁금하다면?

또는

이미 회원이신가요?

2023년 1월 14일 오전 7:38

댓글 0