정리는 끝난 것 같은데 열려 있는 자리가 남습니다
개발자가 퇴사하면 보통 이렇게 합니다. 회사 메일 계정을 정지하고, 노트북과 사원증을 받습니다. 눈에 보이는 것은 정리가 됐습니다.
남는 것은 눈에 보이지 않는 쪽입니다. 서버와 관리 화면의 접속 권한은 목록을 만들어 보기 전까지 확인되지 않습니다.
비밀번호 하나를 바꿔도 다른 문은 그대로입니다
접속하는 방법이 하나가 아니기 때문입니다. 각각 다른 방식으로 등록돼 있어서, 하나를 닫아도 나머지는 남습니다.
| 문 | 어디에 등록돼 있나 | 메일만 정지했을 때 |
|---|---|---|
| 회사 메일 | 메일 서비스 계정 | 닫힘 |
| SSH 공개키 | ~/.ssh/authorized_keys | 그대로 열림 |
| 데이터베이스 사용자 | mysql.user | 그대로 열림 |
| 저장소 배포 키 | Deploy key | 그대로 열림 |
비밀번호는 사람이 외우는 것이고, 공개키와 배포 키는 기계에 등록해 둔 줄입니다. 비밀번호를 바꿔도 등록된 줄은 지워지지 않습니다. 저장소에서 협업자를 빼도 Deploy key 는 따로 남습니다.
실패는 쌓여서 보이고 성공은 한 줄로 지나갑니다
이런 접속은 눈에 잘 띄지 않습니다. 밖에서 아무 계정이나 두드리는 시도는 Failed password 로 쌓여서 금방 보입니다. 반면 이미 등록된 열쇠로 들어오면 Accepted publickey 한 줄로 지나갑니다.
기록 자체는 남습니다. 다만 실패 횟수를 기준으로 알림을 걸어 두셨다면 이 줄은 걸리지 않습니다. 그리고 그 열쇠가 누구 것인지는 로그가 아니라 등록된 키 목록을 봐야 알 수 있습니다. 「뚫려도 경보가 울리지 않는다」기보다, 「실패만 보는 알림에는 걸리지 않는다」가 정확한 표현입니다.
세는 방법이 두 가지로 나뉩니다
더블루캔버스가 자사 운영 자산에서 항목마다 존재를 확인하며 세어 보니, 접근 권한이 남을 수 있는 자리는 성격이 둘로 갈렸습니다. 서버에서 명령어로 셀 수 있는 자리가 네 곳, 사람이 콘솔을 열어 봐야 하는 자리가 여덟 곳이었습니다.
| 서버 안 · 명령어로 셀 수 있는 자리 | 확인 방법 |
|---|---|
| 서버 로그인 계정 | getent passwd 로 로그인 셸을 가진 계정을 봅니다 |
| 등록된 SSH 공개키 | ~/.ssh/authorized_keys 의 줄과 뒤에 붙은 주석을 봅니다 |
| sudo 권한 | getent group sudo 와 /etc/sudoers.d/ 를 봅니다 |
| 데이터베이스 사용자 | SELECT user, host FROM mysql.user; 로 계정과 접속 허용 범위를 봅니다 |
| 서버 밖 · 콘솔을 열어 봐야 하는 자리 | 왜 중요한가 |
|---|---|
| 관리자 페이지 로그인 | CMS 를 쓰면 회원 테이블의 관리자 등급도 함께 봅니다 |
| FTP · SFTP 계정 | 공유 호스팅은 FTP 비밀번호와 SSH 비밀번호가 따로인 경우가 있습니다 |
| 호스팅 · 클라우드 콘솔 | 서버를 지우거나 새로 만들 수 있어 서버 계정보다 권한이 큽니다 |
| 도메인 등록기관 | 여기가 열려 있으면 서버를 잠가도 주소가 다른 곳으로 넘어갑니다 |
| 저장소 계정과 배포 키 | 협업자를 빼도 Deploy key 는 따로 남습니다 |
| 백업 스토리지 API 키 | 백업은 전체 사본이라 키 하나가 서버 전체와 같습니다 |
2026년 8월 31일에 더블루캔버스 운영 자산에서만 세었고, 실제로 존재를 확인한 항목만 넣었습니다. 사업장마다 쓰는 서비스가 달라서 자리 수와 이름은 달라집니다. 이 표는 「우리 회사는 어디를 봐야 하나」를 정할 때의 출발점으로 보시면 됩니다.
지우기 전에 목록부터 받아 보세요
- 퇴사자 이름으로 남은 계정과 접속 수단 목록을 요청합니다. 계정, 공개키, 데이터베이스 사용자, 콘솔 로그인, 배포 키까지 한 장에 모읍니다.
- 지우기 전에 함께 쓰던 계정인지 확인합니다. 공유 계정을 그냥 지우면 배포와 백업이 같이 멈출 수 있습니다. 크론과 배포 스크립트가 그 계정을 쓰고 있는지 먼저 봅니다.
- 키는 지우는 것과 새로 발급하는 것을 구분합니다. 그 사람 것만 지우고, 함께 쓰던 키는 새로 만들어 바꿔 끼웁니다. 한꺼번에 폐기하면 정상 서비스가 멈춥니다.
밖에서 두드리는 쪽의 기록이 궁금하시면 관리자 주소가 /admin 이면 하루에 몇 번 공격받을까를 이어서 보시면 됩니다. 목록 정리와 그 뒤의 감시를 함께 맡기실 수도 있습니다.
본문과 영상에 나오는 체크리스트, 접속 수단 표, 로그는 재현 화면이며 실제 계정 이름이나 키를 옮기지 않았습니다.
