Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
Railway 플랫폼에서 발생한 대규모 보안 사고를 다루며, 환경 변수에 비밀정보를 저장하는 관행의 위험성을 지적합니다. 개발 과정에서의 보안 취약점과 배포 시스템의 문제점을 근본적으로 개선해야 함을 강조하고 있습니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 RSS: GeekNews (한국어)의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기Twitter 자기소개대로 월 반복 매출 30만 달러인 회사가 왜 Railway에서 운영하고 있는 걸까?
올해 처음으로 하루 휴가를 내고 여행을 떠나려는 바로 그 순간, 내가 담당하는 기술 스택과 서비스 곳곳에서 초대형 보안 사고가 터지기 시작함. 내 휴가가 순탄할 리가 없었던 셈임.
그 사람들 때문에 일정을 취소하지는 말길 바람. 당신을 신경 쓰지도 않는 사람들이며, 조직을 짤 때 버스 팩터를 고려하지 않은 건 그쪽 잘못임. 상급자가 처리하면 안 되는 건가?
정신 건강을 우선하고 휴가를 즐기길 바람.
당신 책임이 아니니 휴가를 즐기면 됨. 한 명이 빠지면 멈추는 조직은 경영진이 계획을 잘못 세운 결과임.
Railway Discord에서 저장된 비밀정보가 제삼자에게 악용됐다고 확인하는 사람들을 여럿 봄. 공격자가 복호화된 환경 변수를 읽을 수 있었던 것으로 보임.
환경 변수에 비밀정보를 저장하는 건 끔찍한 선택임. 20년 넘게 계속 말해도 아무도 듣지 않는 듯하고, 똑같은 악순환이 반복됨.
이 부분에서 12 Factor 원칙은 완전히 틀렸음. 환경 변수에는 비밀정보의 값이 아니라 그 정보가 있는 위치를 넣어야 함.
앞으로 매일이 오늘처럼 긴급 패치와 침해 사고의 연속일 것 같아 불길함. 주말에 opencode가 당한 해킹과도 비슷해 보임.
우리 회사 보안팀은 최첨단 AI 연구소와 함께 모든 코드와 시스템을 검사하고 있음. 다층 방어 안쪽에 묻힌 사소한 것까지 가능한 모든 문제를 막으려고 거의 공황 상태로 움직이는 중임.
협력사에서 무엇을 봤는지 모르지만, 이제 허용 가능한 위험이라는 개념 자체가 사라진 듯할 정도로 겁을 먹고 있음.
인터넷은 끝난 셈임. 공개 페이지는 정적 HTML로, 기업 간 서비스는 지점 간 VPN 연결로 돌아가게 될 것임. 소비자 대상 서비스는 온라인에 공개하기에 너무 위험하겠네.
지속 가능한 미래를 위해서는 핫 패치 자체를 완전히 자동화해야 한다고 확신함. 변경 줄 수를 최소한으로 제한해 즉시 패치하여 AI 공격을 막고, 팀이 깨어 있는 업무 시간에 검토와 감사를 하면 됨.
개발 개념으로서의 환경 변수도 퇴출해야 한다고 봄. 공개 Git 저장소에 존재하는 것만으로 보안 사고를 일으키는 정보라면, 개발자가 관행을 지키는 데 의존할 게 아니라 설계상 신뢰 사슬 밖의 파일 시스템으로 절대 나갈 수 없게 해야 함.
유일한 탈출구는 2000년대처럼 모든 것을 온프레미스로 되돌리는 것이라고 봄. 조만간 LAN 케이블 가격도 오를 듯함.
API 키를 폐기하고 새 키로 교체했지만, 현재 Railway가 배포를 막고 있어 앱이 다운된 상태임.
배포를 막아 놓고 키를 어떻게 교체하라는 건가? 사실상 서비스를 내리라는 소리임.
정말 답답한 공지임. Railway를 좋아하고 지금은 그쪽도 어쩔 수 없을 것 같지만, 너무 난감함.
이미 애플리케이션을 내렸고 다른 호스팅 업체로 이전할 예정임.
지난 24시간은 보안 담당자 모두에게 정말 힘든 시간이었을 듯함. 잘 버티길 바람.
바이브 코딩으로 만든 내부 프로젝트의 인터넷 공개를 막는 일과 의미 없는 CVE의 끝없는 공세 사이에서 벌써 지쳐 있음. 그러면서 실제 보안 사고에도 끊임없이 주의를 기울여야 함.
프로젝트를 Railway에서 이전할 생각임. 지금 AI의 역량이라면 직접 VPS에서 운영하는 걸 꺼릴 이유가 없음.
요즘 가장 좋은 VPS는 무엇인가? 여전히 Hetzner나 OVH인가?