이 가이드의 내용
이 가이드에서는 계정 보안을 강화하기 위해 수행할 수 있는 가장 큰 변경 사항에 대해 설명합니다. 각 섹션에서는 보안을 개선하기 위해 프로세스를 변경할 수 있는 변경 내용을 간략하게 설명합니다. 가장 큰 변경 내용이 먼저 나열됩니다.
어떤 위험이 있나요?
계정 보안은 공급망 보안의 기본 사항입니다. 공격자가 GitHub AE에서 계정을 인수할 수 있는 경우 코드 또는 빌드 프로세스를 악의적으로 변경할 수 있습니다. 따라서 첫 번째 목표는 누군가가 사용자의 계정과 더불어 다른 조직 또는 기업의 구성원 계정 인수를 어렵게 만드는 것입니다.
2단계 인증 구성
GitHub AE의 기업의 보안을 향상시키는 가장 좋은 방법은 SAML IdP(ID 공급자)에서2FA(2단계 인증)를 구성하는 것입니다. 암호 자체는 추측할 수 있거나, 손상된 다른 사이트에서 재사용되거나, 피싱과 같은 소셜 엔지니어링에 의해 손상될 수 있습니다. 2FA를 사용하면 공격자가 암호를 가지고 있더라도 계정이 손상되는 것을 훨씬 더 어렵게 만듭니다.
계정에 대한 보안 및 신뢰할 수 있는 액세스를 모두 보장하는 모범 사례를 위해 항상 계정에 두 개 이상의 2단계 자격 증명을 등록해야 합니다. 추가 자격 증명을 사용하면 자격 증명 하나에 대한 액세스 권한이 없어도 계정에서 잠기지 않습니다.
SSH 키를 사용하여 GitHub AE에 연결
IdP를 통해 웹 사이트에 로그인하는 것 외에 GitHub AE와 상호 작용하는 다른 방법이 있습니다. 많은 사람들이 SSH 프라이빗 키를 사용하여 GitHub에 푸시하는 코드에 권한을 부여합니다. 자세한 내용은 "SSH 정보"을 참조하세요.
IdP 계정용 암호와 마찬가지로 공격자가 SSH 프라이빗 키를 가져올 수 있는 경우 사용자를 가장하고 쓰기 액세스 권한이 있는 모든 리포지토리에 악성 코드를 푸시할 수 있습니다. 디스크 드라이브에 SSH 프라이빗 키를 저장하는 경우 암호를 사용하여 보호하는 것이 좋습니다. 자세한 내용은 "SSH 키 암호 사용"을 참조하세요.
또 다른 옵션은 하드웨어 보안 키에 SSH 키를 생성하는 것입니다. 2FA에 사용 중인 것과 동일한 키를 사용할 수 있습니다. 프라이빗 SSH 키는 하드웨어에 유지되며 소프트웨어에서 직접 액세스할 수 없기 때문에 하드웨어 보안 키는 원격으로 손상하기 매우 어렵습니다. 자세한 내용은 "새 SSH 키 생성 및 ssh-agent에 추가"을 참조하세요.
하드웨어 지원 SSH 키는 매우 안전하지만 일부 조직에서는 하드웨어 요구 사항이 작동하지 않을 수 있습니다. 다른 방법은 짧은 기간 동안만 유효한 SSH 키를 사용하는 것이므로 프라이빗 키가 손상된 경우에도 오랫동안 악용되지 않습니다. 이는 사용자 고유의 SSH 인증 기관을 실행하는 개념입니다. 이 방법을 통해 사용자가 인증하는 방법을 높은 수준으로 제어할 수 있지만 SSH 인증 기관을 직접 유지 관리하는 책임도 함께 따릅니다. 자세한 내용은 "SSH 인증 기관 정보"을 참조하세요.