FullStack Lab FullStack Lab

IT 리서치 노트 [GitHub][패스키 설정] 비밀번호 없이 로그인하기 전 백업 수단까지 준비하는 법 GitHub 패스키는 로그인 단계를 줄이면서 피싱 위험도 낮출 수 있지만, 등록 버튼만 누르고 끝내면 장치 분실 때 계정 복구가 어려워질 수 있다. 2026년 9월 9일 KST 기준 공식 문서의 설정 경로와 백업 구성을 함께 정리한다. 목차 개요 어디서 실제로 막히는가 실무에서 적용하는 순서 공식 문서와 예시 화면으로 확인하기 주의사항과 리스크 결론 참고 링크 1. 개요 동기화 패스키 하나만 믿지 말고 독립된 두 번째 인증 수단과 복구 코드를 함께 준비한다. 등록 후에는 반드시 다른 환경에서 로그인해 본다.GITHUB_TOKEN 권한과 OIDC 점검..

IT 리서치 노트 [GitHub][인증 비교] 패스키와 보안 키 차이, 어떤 것을 주 로그인으로 써야 하나 GitHub에서 패스키와 보안 키는 모두 WebAuthn 자격 증명을 쓰지만 로그인에서 맡는 역할은 다르다. 2026년 9월 9일 KST 기준 패스키는 비밀번호 없는 로그인을, 일반 보안 키는 비밀번호 뒤의 두 번째 요소를 제공한다. 목차 개요 어디서 실제로 막히는가 실무에서 적용하는 순서 공식 문서와 예시 화면으로 확인하기 주의사항과 리스크 결론 참고 링크 1. 개요 일상 로그인은 패스키, 독립 백업은 하드웨어 키가 실용적이다. 다만 조직 장치 정책과 브라우저 지원이 제한적이면 기존 TOTP와 보안 키 조합을 유지한다.GITHUB_TOKEN 권..

IT 리서치 노트 [GitHub][2FA 복구] 휴대전화를 잃어버렸을 때 계정 접근을 되찾는 순서 GitHub 2FA 장치를 잃었을 때는 지원 문의부터 하는 것이 아니라 남아 있는 패스키·복구 코드·보안 키를 먼저 확인해야 한다. 2026년 9월 9일 KST 기준 공식 복구 순서와 접근 회복 뒤 정리 항목을 설명한다. 목차 개요 어디서 실제로 막히는가 실무에서 적용하는 순서 공식 문서와 예시 화면으로 확인하기 주의사항과 리스크 결론 참고 링크 1. 개요 패스키와 복구 코드처럼 즉시 쓸 수 있는 수단부터 시도하고, 마지막에 검증 장치·SSH 키·PAT 기반 복구 요청으로 넘어간다. 복구 수단이 전혀 없으면 지원팀도 접근을 복원하지 못할 수 있다.GITH..

IT 실무 리서치 [GitHub][보안]Fine-grained PAT 만들 때 권한과 만료일을 어디까지 줄여야 하나 Fine-grained PAT는 이름만으로 안전해지는 토큰이 아니다. 어떤 API를 호출할지 먼저 적고, endpoint가 요구하는 권한에서 거꾸로 토큰 범위와 만료일을 정해야 유출 피해를 줄일 수 있다. 목차 개요넓게 만든 토큰이 위험한 이유Endpoint에서 권한 찾기생성 화면에서 줄일 항목403을 읽는 순서결론참고 링크 1. 개요Fine-grained PAT를 만들 때 가장 흔한 실수는 403이 한 번 났다고 권한을 한꺼번에 넓히는 것이다. 이렇게 만들면 자동화는 빨리 통과할 수 있지만, 토큰이 유출됐을 때 영향을 받는 저장소와 작업 범위도 같이 커진다.안전하게 만들려면 ..