🔐 보안

소개

보안은 Semaphore UI의 최우선 과제입니다. 중요한 인프라 작업을 자동화하든, 민감한 시스템에 대한 팀 접근 권한을 관리하든, Semaphore UI는 기본적으로 견고하고 안전한 운영을 제공하도록 설계되었습니다. 이 섹션에서는 Semaphore가 보안을 처리하는 방식과 프로덕션 환경에 배포할 때 고려해야 할 사항을 설명합니다.

인증 및 권한 부여

Semaphore는 안전한 인증과 유연한 권한 부여 메커니즘을 지원합니다:

• 로그인 방식:

  • 사용자 이름/비밀번호
    Semaphore 데이터베이스에 저장된 자격 증명을 사용하는 기본 방식입니다. 비밀번호는 절대 평문으로 저장되지 않으며 Argon2id로 해시됩니다(비밀번호 해싱 참조).

  • LDAP
    엔터프라이즈 디렉터리 서비스와 통합할 수 있습니다. 사용자/그룹 필터링과 LDAPS를 통한 보안 연결을 지원합니다.

  • OpenID Connect (OIDC)
    Google, Azure AD, Keycloak과 같은 ID 공급자를 통한 싱글 사인온을 지원합니다. 사용자 지정 클레임과 그룹 매핑을 지원합니다.

• 2단계 인증(2FA)
  TOTP 기반 2FA를 사용할 수 있으며 모든 사용자에게 권장됩니다. 사용자별로 활성화할 수 있고 선택적으로 복구 코드를 지원합니다. 설정 옵션 mfa.totp.enabled와 mfa.totp.allow_recovery를 참조하십시오.

• 역할 기반 접근 제어
  Admin, Maintainer, Viewer 등 서로 다른 역할을 사용자에게 할당하여 책임에 따라 접근을 제한할 수 있습니다.

• 세션 관리
  세션은 보안 HTTP 쿠키로 보호됩니다. 세션 만료 및 로그아웃 메커니즘을 통해 노출을 최소화합니다.

비밀번호 해싱

v2.20부터

Argon2id 비밀번호 해싱은 Semaphore 2.20부터 사용할 수 있습니다. 이전 버전은 bcrypt를 사용합니다.

로컬 사용자 비밀번호는 OWASP가 비밀번호 저장에 권장하는 알고리즘인 Argon2id로 해시됩니다. Semaphore는 OWASP 최소 강도 매개변수를 사용합니다:

매개변수	값
메모리	19 MiB (m=19456)
반복 횟수	2 (t=2)
병렬성	1 (p=1)
솔트	비밀번호당 임의의 16바이트
해시 길이	32바이트

해시는 표준 PHC 문자열 형식으로 저장됩니다. 예를 들어 $argon2id$v=19$m=19456,t=2,p=1$<salt>$<hash>와 같으며, 각 해시에 사용된 매개변수가 해시와 함께 기록됩니다.

이는 비밀번호를 설정할 수 있는 모든 방식, 즉 웹 UI, API, 그리고 CLI 명령 semaphore user add, semaphore user change-by-login, semaphore setup에 적용됩니다.

2.20 이전 버전에서 업그레이드하기. 2.20 이전 릴리스는 bcrypt로 비밀번호를 해시했습니다. 별도의 마이그레이션 단계는 필요하지 않습니다:

• 기존 bcrypt 해시는 로그인 시 계속 허용되므로, 업그레이드 후에도 모든 사용자가 정상적으로 사용할 수 있습니다.
• 처음 로그인이 성공하면 비밀번호가 투명하게 Argon2id로 다시 해시되고 bcrypt 해시가 대체됩니다.
• 향후 릴리스에서 Semaphore의 Argon2id 매개변수가 강화되면, 이전 매개변수로 생성된 해시도 다음 로그인 시 같은 방식으로 업그레이드됩니다.

재해싱은 로그인 시에만 수행되므로, 다시 로그인하지 않는 사용자는 bcrypt 해시를 그대로 유지합니다. 이러한 계정을 강제로 업그레이드하려면 semaphore user change-by-login --password ...를 사용하거나 관리자 UI를 통해 비밀번호를 재설정하십시오.

노트

2단계 인증 복구 코드는 사용자 비밀번호가 아니며 계속 bcrypt를 사용합니다.

시크릿 및 자격 증명

시크릿을 안전하게 관리하는 것은 핵심 기능입니다:

• 암호화된 키 저장소
  자격 증명과 비밀 변수는 AES 암호화를 사용해 저장 시 암호화됩니다.

• 환경 격리
  시크릿은 실행 시점에만 작업에 전달되며 컨테이너 환경에 직접 노출되지 않습니다.

• SSH 키 및 토큰
  유효한 SSH 키와 토큰을 업로드하는 것은 사용자의 책임입니다. 이들은 암호화되어 저장되고 작업을 실행할 때만 사용됩니다.

• HashiCorp Vault 연동 (Pro)
  시크릿을 외부 Vault 인스턴스에 저장할 수 있습니다. 시크릿을 생성하거나 편집할 때 시크릿별로 저장 위치를 선택하십시오.

데이터 암호화

민감한 데이터는 암호화된 형태로 데이터베이스에 저장됩니다. 액세스 키 암호화를 활성화하려면 설정 파일에서 access_key_encryption 설정 옵션을 지정해야 합니다. 이 값은 다음 명령으로 생성해야 합니다:

head -c32 /dev/urandom | base64

신뢰할 수 없는 코드/플레이북 실행

Semaphore는 사용자가 정의한 플레이북과 명령을 실행하므로 위험이 따를 수 있습니다:

• 실행 격리
  기본적으로 작업은 Semaphore 서버의 일반 프로세스이며 해당 서버의 파일 시스템과 네트워크에 접근합니다. 격리는 선택 사항입니다. docker 또는 k8s 실행기로 구성된 러너에 작업을 맡기면 작업마다 새 컨테이너나 Pod가 만들어지고 끝나면 폐기됩니다.

• 최소 권한
  Docker와 Kubernetes 실행기에서는 이미지, 네트워크, 서비스 계정을 직접 선택하므로 작업에 필요한 것만 줄 수 있습니다.

• chroot 실행
  Semaphore는 실행 환경을 호스트 시스템에서 더욱 격리하기 위해 chroot jail 내부에서 작업을 실행할 수 있습니다.

• 작업 프로세스 사용자
  잠재적인 취약점 악용의 영향을 줄이기 위해 작업을 전용 비root 시스템 사용자(예: semaphore)로 실행할 수 있습니다. 이는 선택 사항이며 시스템 정책에 따라 설정할 수 있습니다.

안전한 배포

Semaphore를 안전하게 배포하려면 다음을 따르십시오:

• HTTPS 사용
  Semaphore는 내장 TLS 지원과 Nginx와 같은 리버스 프록시를 통해 모두 HTTPS를 지원합니다. 프로덕션 환경에서는 HTTPS를 활성화할 것을 강력히 권장합니다.

  내장 HTTPS 지원을 활성화하려면 config.json에 다음 블록을 추가하십시오:

  {
      ...
      "tls": {
          "enabled": true,
          "cert_file": "/path/to/cert/example.com.cert",
          "key_file": "/path/to/key/example.com.key"
      }
      ...
  }

• 방화벽 뒤에서 실행
  Semaphore UI와 데이터베이스에 대한 접근을 신뢰할 수 있는 IP로만 제한하십시오.

• 데이터베이스 보안
  강력한 비밀번호를 사용하고 데이터베이스 접근을 Semaphore로만 제한하십시오.

업데이트 및 패치 관리

보안 업데이트는 정기적으로 공개됩니다:

• 최신 상태 유지
  항상 최신 안정 릴리스를 사용하십시오.

• 변경 로그
  업데이트 전에 GitHub에서 변경 사항을 검토하십시오.

• 자동 업데이트
  Docker를 사용하는 경우 정기적인 업데이트를 위한 자동화 파이프라인을 고려하십시오.

취약점 신고

취약점을 발견하셨습니까? Semaphore를 안전하게 유지하는 데 도움을 주십시오:

• 책임 있는 공개
  [email protected]으로 이메일을 보내 주십시오.

취약점 해결 목표

신고된 취약점은 다음 목표 기간 내에 해결하는 것을 목표로 합니다:

• Critical: 30일 이내
• High: 60일 이내
• Medium: 90일 이내
• Low: 최선의 노력, 일반적으로 180일 이내

최신 안정 릴리스에 영향을 주며 실제로 악용되고 있는 문제에 대해서는 정규 주기 외의 패치가 배포될 수 있습니다.

코드 보안 도구

코드베이스와 의존성을 분석하고 의존성 업데이트를 자동화하기 위해 CodeQL, Codacy, Snyk, Renovate를 사용합니다.

• 공개 악용 금지
  패치가 배포되기 전에는 취약점을 공개적으로 공유하지 마십시오.

• 감사 표시
  원하는 경우 보안 연구자를 릴리스 노트에 언급할 수 있습니다.