알 수 없는 SSH 키가 실제로 의미하는 것
GitHub 계정에 등록된 SSH 키는 해당 계정으로 인증할 수 있는 자격 증명입니다. 인식할 수 없는 키가 보인다는 것은 결론이 아니라 조사할 이유입니다. 그 키는 잊고 있던 기기, 이전 팀원의 설정, 오래된 노트북, 또는 승인하지 않은 무언가에 속할 수 있습니다. 안전한 접근 방식은 삭제하기 전에 소유자와 목적을 파악하는 것입니다. 정상적인 워크플로가 사용하는 키를 제거하면 그 워크플로가 중단되기 때문입니다.
GitHub는 여러 가지를 별도의 접근 경로로 취급합니다. 개인 SSH 키, 저장소에 연결된 배포 키, 승인된 OAuth 애플리케이션은 범위가 다른 서로 다른 메커니즘입니다. 하나를 점검한다고 다른 것까지 점검되는 것은 아닙니다.
GitHub는 SSH 키, 배포 키, 승인된 애플리케이션을 별도의 접근 경로로 점검할 것을 권장합니다. 출처
사전·사후 체크리스트
작업 목록으로 활용하세요. “사전” 열은 사실을 수집하는 단계이고, “사후” 열은 결과를 확인하는 단계입니다.
| 단계 | 확인 항목 | 중요한 이유 |
|---|---|---|
| 사전 | 계정에 표시된 모든 SSH 키를 제목과 확인 가능한 지문 또는 생성 정보와 함께 나열 | 어떤 항목이 알 수 없는 것인지 결정하기 전에 전체 그림이 필요 |
| 사전 | 각 키를 이름을 댈 수 있는 기기나 사람과 연결 | 이름을 댈 수 없는 키가 의심 대상 |
| 사전 | 현재 워크플로가 해당 키에 의존하는지 확인(빌드, 배포, 공유 기기 등) | 사용 중인 키를 삭제하면 해당 워크플로가 중단됨 |
| 사전 | 동일한 접근이 배포 키나 승인된 애플리케이션으로도 부여되는지 확인 | 별도 경로이므로 각각 검토 필요 |
| 사전 | 처리 방향 결정: 유지, 교체, 삭제 | 오래된 키는 단순 제거보다 교체가 필요할 수 있음 |
| 사후 | 해당 키가 계정의 SSH 키 목록에 더 이상 나타나지 않는지 확인 | 표시되는 목록이 첫 번째 확인 수단 |
| 사후 | 영향을 받은 워크플로가 여전히 작동하는지, 또는 대체 경로가 있는지 확인 | 제거로 인해 정상 프로세스가 중단되어서는 안 됨 |
| 사후 | 키 자료 자체는 기록하지 않고, 무엇을 언제 제거했는지 메모 | 기록은 향후 점검에 도움 |
계정 SSH 키 제거
제거 자체는 계정 설정에서 이루어집니다. GitHub 문서에 나온 경로는 Settings, 그다음 SSH and GPG keys이며, 여기서 계정 SSH 키를 검토하고 인식할 수 없거나 오래된 키를 삭제할 수 있습니다.
Settings의 SSH and GPG keys에서 계정 SSH 키를 검토하고 인식할 수 없거나 오래된 키를 삭제하세요. 출처
범위를 좁게 유지하세요. 이 단계는 계정 SSH 키를 제거합니다. 배포 키를 제거하거나 승인된 애플리케이션을 취소하거나 저장소 내용을 변경하지는 않습니다. 점검 중 해당 영역에서 문제를 발견했다면 별도의 작업으로 처리하세요.
삭제 전 고려할 정상 워크플로
낯선 키가 모두 적대적인 것은 아닙니다. 행동하기 전에 다음과 같은 일반적인 상황을 고려하세요.
- 더 이상 사용하지 않는 기기. 오래된 노트북이나 업무용 기기에 키가 여전히 등록되어 있을 수 있습니다. 기기가 아직 있다면 일치 여부를 확인할 수 있고, 없다면 보통 삭제가 올바른 판단입니다.
- 공유 또는 팀 기기. 다른 사람이 정당한 목적으로 키를 추가했을 수 있습니다. 제거 전에 소유자와 확인하세요.
- 배포 또는 자동화 설정. 예약된 프로세스가 키를 사용한다면 삭제 시 해당 프로세스가 중단될 수 있습니다. 먼저 의존성을 파악하세요.
- 직접 만들고 잊은 키. 제목과 생성 날짜를 보면 기억이 날 때가 많습니다. 과거 자신의 설정과 일치한다면 삭제보다 유지하거나 교체하는 쪽을 선택할 수 있습니다.
확신이 서지 않을 때 안전한 순서는 파악 → 통제 가능한 키로 교체 → 이전 항목 제거입니다. 이렇게 하면 알 수 없는 경로를 닫으면서도 작동하는 경로를 유지할 수 있습니다.
이 과정이 하지 않는 일
SSH 키 제거는 표적화된 조치이지 전체 계정 정리가 아닙니다. 다음은 하지 않습니다.
- OAuth 애플리케이션이나 기타 승인된 통합 취소;
- 저장소에서 배포 키 제거;
- 키를 누가 왜 만들었는지 입증;
- 다른 접근 경로가 존재하지 않음을 확인.
각각을 별도의 점검으로 다루세요. 점검은 하나의 스위치가 아니라 작고 검증 가능한 단계들의 집합입니다.
사용자 이름 조회가 도움이 되는 곳과 그렇지 않은 곳
공개 사용자 이름 검색은 알려진 핸들이 공개 플랫폼 전반에서 무엇과 연관되어 보이는지 확인하는 데 도움이 됩니다. 이는 신원이나 온라인 발자취를 이해하려 할 때 유용한 맥락입니다. 그러나 GitHub 계정 설정을 들여다보는 방법이 아니며, SSH 키의 소유자를 알려줄 수도 없습니다. TruthsSeek가 다루는 앱 TraceSeek는 알려진 공개 사용자 이름을 3,000+ 플랫폼에서 확인하고 20-30초 만에 첫 스캔 결과를 반환하며, 첫 스캔은 무료입니다. GitHub 설정을 조작하지 않으며, 공개적으로 일치하는 항목은 단서일 뿐 소유권의 증거가 아닙니다.
자격 증명을 안전하게 다루기
개인 키, 토큰 또는 전체 자격 증명을 채팅, 이슈, 스크린샷, 포럼 게시물에 절대 게시하지 마세요. 키를 식별하는 데 도움이 필요하면 제목이나 표시되는 지문처럼 비밀이 아닌 세부 정보만, 신뢰하는 사람에게만 공유하세요. 키가 노출되었다고 의심되면 계정에서 제거하는 것은 한 단계일 뿐이며, 그 키에 의존했던 모든 것을 교체하는 것은 신중하게 내려야 할 별도의 결정입니다.