Google, 삭제한 API 키도 살아남는다…클라우드 통제 허점 노출

Google API 키가 삭제 후에도 활성 상태로 남는 문제가 드러나면서, 클라우드 권한 회수의 신뢰성이 다시 도마에 오르다.

• Dark Reading은 Google API Keys가 삭제 이후에도 활성화 상태로 남는다고 보도했다. 이는 자격 증명을 지웠다고 해서 실제 접근 권한이 즉시 사라지지 않을 수 있음을 뜻하며, 클라우드 운영에서 권한 회수의 지연이 곧 보안 공백이 될 수 있다. Google, API Keys, deletion이라는 조합은 계정 관리보다 자격증명 생명주기 관리가 중요하다는 점을 보여준다.
• 이 문제는 개발자가 키를 폐기했다고 믿는 순간에도 서비스 연동, 자동화 스크립트, 외부 API 호출이 계속 작동할 수 있다는 위험을 만든다. Google, API Keys, deletion after activation 이슈는 클라우드 보안에서 삭제, 비활성화, 감사로그 확인이 별개 절차임을 의미한다. 따라서 정부와 기업은 키 회수 후 검증 절차를 강제해야 한다.
• 정량 수치는 기사에 없지만, 삭제된 키가 계속 살아있을 수 있다는 사실 자체가 데이터 유출과 무단 호출의 잠재 시간을 늘린다. 이는 공공 클라우드와 민간 SaaS에서 사고 대응 시간을 단축해야 하는 정책 근거가 된다.
• 한국 정부는 클라우드 사업자와 공공기관 계약에 자격증명 폐기 확인 API, 자동 만료, 회수 후 재검증 로그를 포함해야 한다. 또한 개발자 계정과 서비스 계정을 분리 관리해, 사람이 삭제했다고 시스템 권한까지 동시에 사라진다는 가정을 버려야 한다.
• 국내 클라우드 보안 업체에는 비밀 관리, 키 수명 주기 추적, IAM 감사 자동화 시장이 커질 수 있다. 정부가 이 기준을 선제적으로 설정하면 글로벌 사업자 의존도를 낮추는 동시에 공급망 통제력을 높일 수 있다.

자격증명은 삭제했다고 끝나지 않는다. 정부는 클라우드 키 회수의 실제 반영 여부를 자동 검증하도록 조달 기준을 바꿔야 한다.

주요 용어: API key(시스템 간 호출 권한을 식별하는 인증 문자열), IAM(신원 및 접근 관리), 자격증명 생명주기 관리(생성·배포·회수·폐기까지의 전 과정을 통제하는 절차)

출처: Dark Reading