API 키 보안: 금융 기술 개발자 위한 실전 가이드
카테고리
프로그래밍/소프트웨어 개발
서브카테고리
보안
대상자
- *금융 기술(Fintech) 개발자**
- 난이도: 중급 이상 (보안 프레임워크 이해 필요)
- 주요 대상: API 키 관리, 인프라 보안, 인증 시스템 설계에 관심 있는 개발자
핵심 요약
- API 키 유출 원인: Git 히스토리, 환경 파일, 클라이언트 코드, Docker 이미지 등 개발 워크플로우의 간단한 실수로 발생
- 보안 대응 전략:
- 환경 변수 활용 (예:
process.env.PAYMENT_API_KEY) - 키 회전(Key Rotation) 정책 도입 (예: 30일 주기)
- 시크릿 관리자(AWS Secrets Manager, HashiCorp Vault) 사용
- OAuth로의 전환: 세부 권한 제어, 일시적 토큰, 재발급 없이 접근 권한 회수 가능
섹션별 세부 요약
1. API 키 유출 주요 장소
- Git 히스토리 및 커밋 내 API 키 포함
- 환경 파일(
.env)이 소스 컨트롤에 체크인됨 - 디버그 로그, 클라이언트 측 코드, Docker 이미지, CI/CD 로그, 브라우저 개발자 도구
- 예시 코드:
```javascript
const paymentApi = new PaymentAPI({
apiKey: 'prod_api_test_7653',
secretKey: 'seck_live_67890' // 실수로 코드에 직접 입력
});
```
2. 환경 변수 사용법
.env파일을.gitignore에 등록- 애플리케이션 실행 시 환경 변수 검증
- 예시 코드:
```javascript
const paymentApi = new PaymentAPI({
apiKey: process.env.PAYMENT_API_KEY,
secretKey: process.env.PAYMENT_SECRET_KEY
});
if (!process.env.PAYMENT_SECRET_KEY) {
throw new Error('Payment secret key not configured');
}
```
3. 키 회전 정책
- 정기 회전(30일 주기)
- 자동화 도구 사용 (예: Node.js
KeyManager클래스) - 예시 코드:
```javascript
class KeyManager {
needsRotation() {
const daysSinceRotation = (Date.now() - this.rotationDate) / (1000 60 60 * 24);
return daysSinceRotation > 30;
}
}
```
4. 시크릿 관리자 도구 사용
- AWS Secrets Manager, HashiCorp Vault 등 활용
- 자동 회전, 세부 권한 제어, 암호화 기능 제공
- 예시 코드:
```javascript
const AWS = require('aws-sdk');
const secretsManager = new AWS.SecretsManager();
async function getApiKey() {
const data = await secretsManager.getSecretValue({ SecretId: 'payment/api-key' }).promise();
return JSON.parse(data.SecretString).apiKey;
}
```
5. OAuth로의 전환
- 세부 권한 제어, 일시적 토큰, 재발급 없이 회수 가능
- 예시 코드:
```javascript
app.get('/auth', async (req, res) => {
const { code } = req.query;
const response = await fetch('https://auth.example.com/token', {
method: 'POST',
body: JSON.stringify({
code,
client_id: process.env.CLIENT_ID,
client_secret: process.env.CLIENT_SECRET,
grant_type: 'authorization_code'
})
});
const { access_token } = await response.json();
});
```
결론
- 환경 변수 + 시크릿 관리자 + OAuth의 조합을 통해 API 키 보안 강화
- 자동 회전 정책과 실시간 모니터링 도입 필수
- Git 히스토리 청소 및 CI/CD 로그 보안 검토를 정기적으로 수행해야 함