DongHyeonkaandClaude Opus 5
027c24ee27
Every secret in the lab prints in four commands, while kubectl describe shows just a byte count and creates the impression that something is hidden. k3s reports encryption at rest disabled and the plaintext password is present in state.db, so one node disk carries the whole cluster's secrets, and inside the pod they are ordinary environment variables visible to exec, /proc and crash dumps. The default service account cannot read secrets, which makes RBAC the one control doing real work here and the thing worth tightening. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
D-3 — 비밀 관리 증거
2026-09-04 17:15–17:25 KST
해설: docs/experiment-d3-secret-management.md
| 파일 | 무엇을 보여주는가 |
|---|---|
01-base64-not-encryption.txt |
실험대의 모든 비밀이 명령 네 줄로 평문 출력. describe 는 14 bytes 만 보여줘 착각을 준다 |
02-at-rest.txt |
Encryption Status: Disabled · state.db 안에 비밀번호 평문 2회 일치 · 파드 안에서는 KEYCLOAK_CLIENT_SECRET=bff-lab-secret 환경변수 · default SA 는 읽을 수 없음 |
핵심 세 줄
- base64 는 감추려는 것이 아니라 YAML 에 바이트를 담기 위한 것이다.
describe가 값을 가려 안전하다는 착각을 준다. - 저장소 암호화가 꺼져 있고 노드 디스크에 평문이 있다. 노드 디스크 하나가 전 클러스터의 비밀이다.
- 네 경로 중 RBAC 만 제 역할을 한다. 그것이 실질적 방어선이며, 관리자에게는 아무 방어가 없다.