서론

.env 파일을 평문(Plaintext) 상태로 로컬 환경이나 서버에 저장하고 계시지 않나요?

AI 에이전트가 일상적으로 사용되게 된 현재, 개발 환경에서의 기밀 정보 취급은 이전보다 더욱 주의가 필요해졌습니다.

AI 에이전트에게 프로젝트의 컨텍스트(Context)를 통째로 읽히는 기회가 늘어난 만큼, .env 파일을 평문 텍스트 파일로 저장 및 운용하고 있다면 이번에 소개해 드릴 이유로 인해 보안 인시던트(Security Incident)로 이어질 위험이 있습니다.

본 기사에서는 평문 관리에서 탈피하는 dotenvx를 통한 암호화 절차를 소개합니다.

대상자

• 개발 작업에 AI 에이전트를 일상적으로 사용하고 계신 분
• .env 파일을 평문 상태로 리포지토리(Repository)나 서버에 두고 계신 분
• 환경 변수 관리를 개선하고 싶다고 생각하시는 분

.env는 위험한가?

왜 평문이 위험한가?

• AI에 의한 의도치 않은 읽기: 에디터에 내장된 AI나 외부 AI 어시스턴트에게 프로젝트의 컨텍스트를 읽히게 했을 때, .env의 평문 데이터가 그대로 프롬프트(Prompt)의 컨텍스트로 전송되어 버리는 리스크입니다.
• 로그나 에러 핸들링(Error Handling)으로의 혼입: 디버깅 시 등에 프레임워크가 자동으로 출력하는 로그나 에러 화면에 환경 변수의 평문이 그대로 출력되거나 혼입되는 리스크입니다.
• 부정 액세스 시 용이한 탈취: 서버나 컨테이너에 대한 부정 액세스를 받았을 때, 디스크 상에 평문으로 존재하는 .env 파일이 한꺼번에 탈취되어 버리는 리스크입니다.

dotenvx란

dotenvx는 Node.js 라이브러리인 dotenv의 제작자가 직접 만드는 차세대 버전으로, .env 파일을 리포지토리에 둔 채로 암호화하여 관리할 수 있는 도구입니다. 기존 dotenv의 사용법을 거의 그대로 계승할 수 있어 도입 비용이 낮다는 점이 특징입니다.

dotenvx의 암호화 메커니즘

dotenvx encrypt를 실행하면 공개키(DOTENV_PUBLIC_KEY)와 비밀키(DOTENV_PRIVATE_KEY) 쌍이 생성됩니다.

• .env 파일 자체가 다시 쓰여지며, 맨 앞에 DOTENV_PUBLIC_KEY가 추가된 후 각 값이 encrypted:...라는 암호문으로 교체됩니다.
• 복호화용 비밀키는 .env.keys라는 별도의 파일로 작성됩니다.

도입 및 사용법

1. 설치

npm install @dotenvx/dotenvx --save-dev

2. .env 암호화

다음 명령어를 실행하면 .env의 내용이 암호화되고, 복호화용 비밀키가 자동으로 생성됩니다.

npx dotenvx encrypt

암호화된 후의 .env는 다음과 같은 모습이 됩니다.

#/-------------------[DOTENV_PUBLIC_KEY]--------------------/
#/ public-key encryption for .env files /
#/ [how it works](https://dotenvx.com/encryption) /
...

3. 애플리케이션 실행

실행 시 dotenvx run --를 사이에 넣음으로써, .env.keys로부터 비밀키를 읽어 들여 메모리 상에서 복호화하며 안전하게 애플리케이션을 기동할 수 있습니다.

npx dotenvx run -- npm run dev

4. 운영 환경에서의 키 취급

운영 환경에서는 .env.keys 자체를 배포하지 않고, 호스팅 서비스의 환경 변수 설정 화면 등에 비밀키를 직접 등록합니다. 환경별로 키를 나누고 싶은 경우, 공식 문서에서는 .env.production과 같은 환경별 파일에 대응하는 형태로 DOTENV_PRIVATE_KEY_PRODUCTION이라는 명명 규칙(DOTENV_PRIVATE_KEY_${environment})이 정의되어 있습니다. 이 명명 규칙에 따른 키가 설정되어 있다면, 대응하는 .env.${environment}가 실행 시 자동으로 복호화되는 구조입니다.

DOTENV_PRIVATE_KEY_PRODUCTION="4a650a41...." npx dotenvx run -- node index.js

이렇게 함으로써, 복호화 키 자체도 디스크 위의 파일로 남지 않는 운용이 가능해집니다.

dotenvx 암호화만으로는 방지할 수 없는 것

dotenvx를 통해 리포지토리나 디스크 상에 존재하는 .env 파일의 내용은 암호문이 됩니다. 이 단계까지 오면, 실수로 리포지토리에 커밋해 버렸을 경우나 서버에 대한 부정 액세스로 파일째 탈취당했을 경우의 리스크를 상당히 낮출 수 있습니다.

하지만 AI 에이전트가 실제로 접하고 있는 것은 암호화된 .env 파일 그 자체가 아니라, 애플리케이션 실행 중에 복호화되어 프로세스로 전개된 이후의 환경 변수입니다. 여기에 암호화만으로는 메울 수 없는 틈이 있습니다.

즉, dotenvx에 의한 암호화는 "디스크 상의 파일을 암호문으로 만드는" 대책이며, "실행 중인 프로세스에 전개된 값을 AI 에이전트의 눈으로부터 숨기는" 대책까지는 제공하지 않습니다. 이 두 가지는 별개의 방어 계층으로 파악해야 합니다.

기밀 정보를 디스크에 남기지 않는 사고방식

dotenvx로 .env를 암호화하고 있더라도, 그것을 사용하는 측의 기동 스크립트나 프레임워크가 "복호화 결과를 임시 파일로 내보낸 후 읽어오는" 구현 방식이라면, 해당 임시 파일이 평문 상태로 남아 있을 가능성이 있습니다. 암호화는 어디까지나 "정지해 있는 파일"을 보호하는 대책이며, 실행 시의 취급 방식까지 보증해 주는 것은 아닙니다.

따라서 의식해야 할 점은, 기밀 정보를 디스크에 일절 쓰지 않고 프로세스의 메모리 (RAM) 상에서만 완결 짓는 사고방식입니다. 업계에서 통일된 명칭이 있는 것은 아니지만, OWASP의 Secrets Management Cheat Sheet가 제시하는 "secrets are never written to disk", "ephemeral secrets (휘발성 시크릿)"와 같은 원칙에 가깝습니다.

핵심은 취득한 시크릿을 파일로 쓰는 처리를 일절 거치지 않고, process.env에 직접 올린 다음 앱 본체를 기동하는 것입니다. IAM 역할(Role) 등으로 Secrets Manager에 대한 액세스 권한 자체를 제한해 두면, 만에 하나 컨테이너에 침입당하더라도 취득할 수 있는 정보의 범위를 최소화할 수 있습니다.

구현 시 주의점

3가지 접근 방식 비교

구분	평문 .env	dotenvx 암호화	시크릿 매니저 연동
디스크 상의 상태	평문으로 저장	암호문으로 저장	저장하지 않음
...

마치며

AI 에이전트에게 일상적으로 코드베이스를 읽히게 되면서, .env를 무방비한 상태로 두는 것에 대해 이전보다 더 큰 위험을 느끼게 되었습니다. 동시에, 암호화는 어디까지나 디스크 상의 파일을 보호하는 대책이며, 실행 중인 프로세스에 전개된 값까지는 보호해 주지 않는다는, 말하자면 당연한 사실도 재인식할 수 있었습니다.

우선은 .env를 평문 상태로 커밋하는 것을 그만두고, dotenvx로 암호화된 상태로 리포지토리를 관리하는 운용을 최소한의 기준으로 철저히 지킨다.

그 위에 기밀성이 높은 운영 시스템에 대해서는 시크릿 매니저와의 연동을 통해 디스크에 흔적을 남기지 않는 운용을 검토하여, 개발 속도와 안전성의 균형을 맞춰 나간다.

이것이 AI 시대에서의 환경 변수 관리의 현실적인 타협점이라고 생각했습니다.

본 기사가 .env 취급에 불안을 느끼는 분들에게 참고가 되기를 바랍니다.

주식회사 ONE WEDGE

【IT 엔지니어에게, IT 업계에 공헌하는 기업】

주식회사 ONE WEDGE는 Web 시스템 개발·SES·AI/DX 지원을 수행하는 IT 기업입니다. 생성형 AI를 활용한 업무 효율화 및 차세대 시스템 개발에도 주력하고 있으며, 기업의 과제 해결뿐만 아니라 엔지니어 개개인의 성장에도 진심으로 임하고 있습니다. 또한, 기술은 "혼자 배우는 것"이 아니라 "동료와 함께 성장하는 것"이라고 생각하며, 사내외 커뮤니티 구축에도 힘을 쏟고 있습니다.

【 ONE WEDGE가 레바텍 전직 페어에 출전 】

7월 26일 개최! 주식회사 ONE WEDGE가 레바텍 전직 페어에 출전합니다!

관심 있는 분들은 꼭 참여해 주세요! 상세 내용 및 사전 신청은 이쪽에서!

Discussion