「유출된 API 키 대응」은 터미널에 명령을 입력할 수 있는 초보자를 위한 실용적인 사이버 보안 프로젝트입니다. 지원 서비스 연동이 저장소에서 삭제한 키를 여전히 허용합니다. 유출 경로를 추적하고 해당 자격 증명을 폐기한 뒤, 필요한 권한만 가진 전용 대체 키로 요약 작업을 복구합니다.
가이드 실습 2개에서 요청 흐름, Git 이력, 인증, 권한 범위, 비공개 런타임 설정을 설명합니다. 챌린지 1개에서는 증거와 업무 작업이 다른 배송 연동에 같은 방법을 적용합니다. 완료하려면 API가 실제로 이전 키를 거부하고 올바른 업무 결과를 수신해야 하며, 무관한 연동도 계속 사용할 수 있어야 합니다.
학습 내용
- API 키가 프로그램을 인증하는 방식과 키 ID 및 비밀값의 차이 설명하기;
- Git으로 과거 설정을 찾아 눈에 보이는 비밀값을 삭제해도 키가 폐기되지 않는 이유 설명하기;
- 올바른 자격 증명을 폐기해 유출을 차단하면서 독립적인 모니터 유지하기;
- 이 제공자의 인증 실패
401과 권한 거부403구분하기; - 최소한의 읽기·쓰기 권한 범위를 선택하고 한 번만 표시되는 대체 비밀값을 서비스 계정의 비공개 파일에 저장해 준비된 worker 복구하기;
- 수신 API의 업무 결과를 살펴보고 허용 및 금지된 접근 테스트하기.
추천 대상
초급 개발자, 보안 입문자, 노출된 연동 자격 증명에 대응하는 방법이 궁금한 분에게 적합합니다.
선수 지식: 명령을 입력하고 파일 경로를 알아보는 기본적인 터미널 사용 능력이 필요합니다. Git, API, JSON, Python 프로그래밍, 비밀 관리 사전 지식은 필요하지 않습니다. 필요한 개념과 명령 구문을 설명합니다.
학습 환경: 각 단원은 Workstation 및 Integration 터미널과 Key Manager가 포함된 독립적인 사전 구성 Linux 환경을 제공합니다. 로컬 교육용 제공자는 가상 데이터와 자격 증명을 사용하지만 실제 권한 검사와 업무 기록 저장을 수행합니다. 외부 클라우드 계정, 실제 API 키, 로컬 설치는 필요하지 않습니다. 실행 UI와 명령 출력은 영어입니다.
자주 묻는 질문
Python을 작성하거나 서비스를 구축해야 하나요?
아니요. worker와 API는 준비되어 있습니다. 자격 증명을 조사하고 권한을 선택하며 작은 설정 파일을 수정한 뒤 결과 동작을 테스트합니다.
Git에서 키를 삭제하면 유출이 해결되나요?
아니요. 과거 스냅샷과 다른 복사본에 남아 있을 수 있습니다. 새 비밀값을 커밋하지 않고 제공자에서 자격 증명을 폐기하고 교체합니다.
챌린지에 가이드 실습 외의 지식이 필요한가요?
저장소 증거, 자격 증명, 데이터셋, 작업 조합이 바뀝니다. 도구, 관리 화면 동작, 설정 형식, 핵심 방법은 같으며 엔드포인트와 권한 범위 참조표를 제공합니다.
