telexed ~ c / dc76e07b-ae3radar:40 · otherLIVE
← 피드로
NO.
#dc76e07b
분야
기타
출처
GeekNews
게재
2026-05-09 17:02:22
중요도
★ 4/10 — radar 40
`NixOS` 비밀값, `Nix store`에 넣는 순간 읽힌다
FIG-0071:1

`NixOS` 비밀값, `Nix store`에 넣는 순간 읽힌다

`NixOS` Secrets: Plaintext in `Nix store` Is Readable

비밀값을 Nix 설정이나 비공개 Git에 숨겨도 배포 뒤엔 Nix store에 남아 머신 접근자가 읽는다. NixOS로 운영 중이면 sops-nix를 기본값으로 깔아야 할 수준이며, 아니면 서버 비밀관리부터 다시 봐야 한다.

[ 요점 ]
  1. Nix 설정에 박아 넣은 비밀값은 배포 후 Nix store로 흘러가고, 여기선 머신 사용자 누구나 읽을 수 있다.
  2. 비공개 저장소에 두거나 git-crypt로 관리해도 빌드·배포 시 평문이 store에 남으면 소용없다. 문제 지점이 저장소에서 런타임으로 옮겨갈 뿐.
  3. sops-nix.sops.yaml 규칙과 sops 편집 흐름을 붙여 비밀파일을 관리한다. NixOS 운영 스택이면 우선 채택할 만하다.
원문news.hada.io/topic?id=29328원문 보기 →

// related