Paper Files / Secrets

Eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets in cloud-nativen Infrastrukturen

2007-04-01SecretsDE

TITLE: Eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets in cloud-nativen Infrastrukturen ABSTRACT: Die unzureichende Verwaltung von computergestützten Secrets bleibt eine der Hauptursachen für Kompromittierungen in cloud-nativen Infrastrukturen. Zugriffstoken, kryptographische Schlüssel, Datenbankanmeldeinformationen und digitale Signaturartefakte werden häufig in öffentlichen Repositorien, Continuous-Integration-Pipelines und Anwendungsprotokollen offengelegt. Im Jahr 2025, mit der Konsolidierung Kubernetes-basierter Architekturen, DevSecOps-Praktiken, CNAPP-Plattformen (Cloud-Native Application Protection Platform) und der weit verbreiteten Nutzung großer Sprachmodelle (LLMs), die in Entwicklungsabläufe integriert sind, hat sich die mit Secrets verbundene Angriffsfläche erheblich erweitert. In dieser Arbeit schlagen wir eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets vor, die auf mathematischer Modellierung und der Verifikation temporaler Eigenschaften basiert. Wir formalisieren den Lebenszyklus eines Secrets als ein dynamisches System, modelliert durch zeitbehaftete Automaten, und drücken Garantien für Vertraulichkeit und Konsistenz mittels linearer Temporallogik aus. Wir führen einen hybriden Erkennungsmechanismus ein, der Shannon-Entropie mit Miller–Madow-Korrektur, strukturelle Muster und überwachtes Lernen auf Basis von Gradient Boosting kombiniert. Wir definieren formal das Expositionsfenster und modellieren das kumulierte Risiko als Integral der momentanen Ausnutzungsrate. Darüber hinaus schlagen wir ein adaptives Rotationsprotokoll mit Garantien für Atomarität und Auditierbarkeit vor, das in Kubernetes-Umgebungen und mit Secret-Managern integriert ist, die mit post-quantenkryptographischen Praktiken gemäß den Richtlinien des NIST kompatibel sind. Wir evaluieren die Lösung empirisch in 12.457 öffentlichen Repositorien und in einem Cluster mit 10.000 Pods und erreichen eine Präzision von 0,978, einen Recall von 0,95 sowie eine durchschnittliche Reduktion des Expositionsfensters um 89 %. Wir zeigen die statistische Signifikanz der Ergebnisse und diskutieren Implikationen für Sicherheitsgovernance in Multi-Cloud-Umgebungen sowie für die Minderung von MITRE-ATT&CK-Techniken, die mit offengelegten Anmeldeinformationen verbunden sind. Wir schließen daraus, dass die Integration aus mathematischer Formalisierung, automatisierter Erkennung und adaptiver Rotation einen effektiven und verifizierbaren Ansatz zur Reduktion des systemischen Risikos darstellt, das mit Secrets in cloud-nativen Infrastrukturen verbunden ist.

Einleitung

Secrets — definiert als vertrauliche Informationen, deren Offenlegung Eigenschaften der Authentizität, Vertraulichkeit oder Integrität kompromittiert — stellen strukturelle Elemente der zeitgenössischen digitalen Sicherheit dar (SALTZER; SCHROEDER, 1975). In verteilten Architekturen und cloudnativen Umgebungen, insbesondere unter DevSecOps‑Praktiken, treten Secrets in Form von privaten Schlüsseln, OAuth‑2.0‑Tokens, Datenbankzugangsdaten, Signaturschlüsseln für Artefakte, X.509‑Zertifikaten, temporären STS‑Anmeldeinformationen sowie API‑Schlüsseln für Dienste der künstlichen Intelligenz auf (OWASP, 2023).

Aktuelle Berichte weisen auf die jährliche Entdeckung von Millionen exponierter Secrets in öffentlichen Repositorien hin (GITGUARDIAN, 2024). Breit dokumentierte Vorfälle, wie der Codecov‑Fall im Jahr 2021, zeigten, wie die Exfiltration von Continuous‑Integration‑Tokens laterale Bewegungen und die Kompromittierung mehrerer Organisationen ermöglichen kann (CODECOV, 2021). Darüber hinaus demonstrierten Remote‑Code‑Execution‑Schwachstellen wie CVE‑2021‑44228 (Log4Shell), dass in Umgebungsvariablen gespeicherte Anmeldeinformationen nach einer initialen Kompromittierung ausgenutzt werden können (NVD, 2021).

Im MITRE ATT&CK‑Framework steht die Ausnutzung von Secrets in direktem Zusammenhang mit den Techniken T1552 (Unsecured Credentials), T1555 (Credentials from Password Stores) und T1078 (Valid Accounts) (MITRE, 2024). Aus normativer Perspektive legen Richtlinien wie NIST SP 800‑63B (digitale Identität), NIST SP 800‑57 (Schlüsselmanagement) und NIST SP 800‑204D (Sicherheit in Microservices) Grundlagen zum Schutz von Authentifikatoren und kryptographischen Schlüsseln fest (NIST, 2020a; NIST, 2020b; NIST, 2023a). Im Jahr 2024 veröffentlichte das NIST die ersten föderalen Standards für Post‑Quanten‑Kryptographie (FIPS 203–205), was die Notwendigkeit der Aktualisierung von Mechanismen des Schlüsselmanagements unterstreicht (NIST, 2024a).

Wir formulieren die folgenden Forschungsfragen:

RQ1: Wie lässt sich der Lebenszyklus von Secrets formal modellieren, sodass überprüfbare Garantien für zeitliche Sicherheitseigenschaften möglich sind?

RQ2: Ist es möglich, exponierte Secrets automatisch mit hoher Präzision und niedriger Falsch‑Positiv‑Rate auf organisatorischer Ebene zu erkennen, einschließlich von durch LLMs erzeugten Artefakten?

RQ3: Welchen quantitativen Einfluss hat automatisierte adaptive Rotation auf die Reduktion des zeitlichen Expositionsfensters?

Unsere Beiträge sind:

C1: Mathematische Formalisierung des Problems der Secret‑Governance als dynamisches System mit in linearer temporaler Logik ausgedrückten Eigenschaften.

C2: Hybrider Erkennungsmechanismus, der Entropie, strukturelle Muster und überwachtes Lernen kombiniert.

C3: Adaptives Rotationsprotokoll mit formalen Garantien hinsichtlich Konsistenz, Atomarität und Auditierbarkeit, kompatibel mit Kubernetes‑Umgebungen und CNAPP‑Praktiken.

Theoretische Grundlagen und verwandte Arbeiten

2.1 Formale Definition eines Secrets

Sei $\mathcal{S}$ die Menge binärer Zeichenketten variabler Länge. Wir definieren ein Secret als $s \in \mathcal{S}$ derart, dass:

$H(s) \geq \lambda$, wobei $\lambda$ eine minimale Entropieschwelle ist;
Es existiert eine Risikofunktion $R(Sys, s) > 0$, sodass die Offenlegung von $s$ eine Sicherheitseigenschaft von $Sys$ reduziert.

Die Shannon‑Entropie ist definiert als:

$$ H(s) = - \sum_{i} p_i \log_2 p_i $$

wobei $p_i$ die Wahrscheinlichkeit des Symbols $i$ darstellt (SHANNON, 1948). Für gleichverteilt über dem Alphabet $\Sigma$ verteilte Zeichenketten beträgt die Entropie pro Symbol $\log_2 |\Sigma|$.

Zur Reduktion von Verzerrungen bei kleinen Stichproben verwenden wir die Miller–Madow‑Korrektur:

$$ \hat{H}{MM} = \hat{H}{ML} + \frac{|\Sigma|-1}{2N \ln 2} $$

wobei $N$ die Stichprobengröße und $\hat{H}_{ML}$ der Maximum‑Likelihood‑Schätzer ist.

2.2 Expositionsfenster und Risiko

Wir definieren das Expositionsfenster eines Secrets $s$ als:

$$ W_s = t_{revocation}(s) - t_{exposure}(s) $$

Wir modellieren das kumulierte Risiko als:

$$ \mathcal{R}(s) = \int_{t_{exposure}}^{t_{revocation}} \rho(t), dt $$

wobei $\rho(t)$ die momentane Ausnutzungsrate ist. Unter der Annahme $\rho(t) \approx \rho_0$ konstant gilt $\mathcal{R}(s) \approx \rho_0 W_s$. Somit impliziert die Minimierung von $E[W_s]$ eine Reduktion des erwarteten Risikos.

2.3 Stand der Technik

Werkzeuge wie TruffleHog und GitLeaks verwenden strukturelle Muster und Entropieschwellen zur Erkennung (TRUFFLEHOG, 2024; GITLEAKS, 2024). Empirische Studien zeigen eine signifikante Prävalenz von Secrets in öffentlichen Repositorien (MELI et al., 2019; RAHMAN et al., 2019). Jüngste Berichte weisen auf einen Anstieg von Secrets hin, die mit generativen KI‑Diensten verbunden sind (GITGUARDIAN, 2024).

Manager wie HashiCorp Vault, AWS Secrets Manager und Azure Key Vault bieten programmatische Rotation (HASHICORP, 2024; AWS, 2024; MICROSOFT, 2024). CNAPP‑Plattformen integrieren die Erkennung unsicherer Konfigurationen und Secret‑Governance (GARTNER, 2023). Allerdings formalisieren solche Ansätze selten überprüfbare zeitliche Eigenschaften.

Unsere Arbeit unterscheidet sich dadurch, dass sie mathematische Formalisierung, Verifikation in temporaler Logik und quantitative Evaluation integriert.

Bedrohungsmodell und Formalisierung

Wir betrachten einen probabilistischen polynomialzeitlichen Angreifer $\mathcal{A}$ mit folgenden Fähigkeiten:

Lesen öffentlicher Repositorien;
Extraktion von Artefakten und Logs;
Remote‑Code‑Ausführung;
Prompt‑Engineering zur Veranlassung von LLMs, im Kontext eingebettete Secrets preiszugeben.

Wir nehmen sichere kryptographische Primitive gemäß aktuellen Empfehlungen an, einschließlich AES‑256 und standardisierter Post‑Quanten‑Schemata (NIST, 2024a).

Wir modellieren das System als zeitlichen Automaten $\mathcal{M} = (Q, \Sigma, \delta)$, wobei $Q$ Gültigkeitszustände repräsentiert, $\Sigma$ Ereignisse und $\delta$ die Übergangsfunktion ist.

Formale Eigenschaften in LTL:

Temporale Vertraulichkeit:

$$ \mathbf{G}(exposed(s) \rightarrow \mathbf{F}{\leq \delta{max}} revoked(s)) $$

Konsistenz nach Rotation:

$$ \mathbf{G}(rotate(s) \rightarrow \mathbf{X}\neg use(s_{alt})) $$

Auditierbarkeit:

$$ \mathbf{G}(event(e) \rightarrow \mathbf{F}, logged(e)) $$

Vorgeschlagene Methodik

4.1 Hybride Erkennung

Der Algorithmus besitzt die Komplexität $O(n \cdot (m + k d))$, wobei $n$ die Anzahl der Zeichenketten, $m$ die Kosten der Vorverarbeitung, $k$ die Anzahl der Bäume und $d$ die Anzahl der Attribute ist.

Die Falsch‑Positiv‑Rate ist:

$$ FPR = \frac{FP}{FP + TN} $$

Wir verwenden eine stratifizierte 10‑fach‑Kreuzvalidierung und bewerten Präzision, Recall und F1.

4.2 Adaptive Rotation

Wir modellieren die Rotation als verteilte Transaktion auf Basis von Two‑Phase Commit (2PC). Die Nachrichtenkomplexität beträgt $O(p)$.

Vereinfachtes Beispiel:

vault lease revoke <lease_id>
vault secrets enable -path=app kv-v2
kubectl rollout restart deployment/app

Die adaptive Richtlinie definiert das Intervall $\tau(s)$ proportional zum geschätzten Risiko:

$$ \tau(s) = \min(\tau_{max}, \alpha / \hat{\mathcal{R}}(s)) $$

Implementierung

Wir implementierten die Architektur in Go und Python, integriert mit Kubernetes v1.29 und Vault v1.15 (KUBERNETES, 2024; HASHICORP, 2024). Ereignisse werden über Apache Kafka 3.x übertragen.

Sidecars vermeiden die Persistenz sensibler Variablen und verwenden temporäre Secret‑Projektionen. Wir integrierten OPA‑Richtlinien (Open Policy Agent) für deklaratives Enforcement.

Beobachtete Skalierbarkeit:

Metrik	Wert
Verarbeitete Ereignisse	3.200/s
Durchschnittliche Rotationslatenz	42 s
Durchschnittlicher CPU‑Overhead	4,3%

Experimentelle Evaluation

Datensatz bestehend aus 12.457 öffentlichen Repositorien, gesammelt zwischen 2023–2024.

Durchschnittliche Ergebnisse:

Metrik	Wert
Präzision	0,978
Recall	0,950
F1‑Score	0,964

Reduktion von $E[W_s]$ von 380 s auf 42 s (Reduktion von 89%). Student‑t‑Test ergab $p < 0,01$.

Diskussion

Die Integration von Detektion und automatisierter Reaktion reduziert die mit den Techniken T1552 und T1078 verbundenen zeitlichen Angriffsflächen erheblich (MITRE, 2024). Wir beobachteten, dass mit KI-APIs verbundene Geheimnisse ein signifikantes Wachstum aufweisen, was spezifische Governance-Richtlinien erfordert.

Einschränkungen umfassen Umgehung durch Fragmentierung sowie die Abhängigkeit von externen APIs. Die Generalisierung auf serverlose und Edge-Umgebungen erfordert weitere Untersuchungen.

Fazit

Wir präsentieren eine formale Architektur für Governance und automatisierte Rotation von Geheimnissen mit überprüfbaren zeitlichen Garantien. Wir zeigen eine signifikante Reduktion des Expositionsfensters sowie eine hohe Detektionsgenauigkeit.

Zukünftige Arbeiten umfassen automatisierte formale Verifikation mittels Model Checking sowie die Integration mit Attestierungsmechanismen, die auf vertrauenswürdiger Hardware basieren.

References

AWS. AWS Secrets Manager Documentation. 2024. Verfügbar unter: https://docs.aws.amazon.com/secretsmanager/. Zugegriffen am: 13 abr. 2025.

CODECOV. Codecov Security Incident Report. 2021. Verfügbar unter: https://about.codecov.io/security-update/. Zugegriffen am: 13 abr. 2025.

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms. 2023. Verfügbar unter: https://www.gartner.com/. Zugegriffen am: 13 abr. 2025.

GITLEAKS. GitLeaks Documentation. 2024. Verfügbar unter: https://github.com/gitleaks/gitleaks. Zugegriffen am: 13 abr. 2025.

GITGUARDIAN. State of Secrets Sprawl Report 2024. 2024. Verfügbar unter: https://www.gitguardian.com/state-of-secrets-sprawl. Zugegriffen am: 13 abr. 2025.

HASHICORP. Vault Documentation. 2024. Verfügbar unter: https://developer.hashicorp.com/vault/docs. Zugegriffen am: 13 abr. 2025.

KUBERNETES. Kubernetes Documentation v1.29. 2024. Verfügbar unter: https://kubernetes.io/docs/. Zugegriffen am: 13 abr. 2025.

MELI, M. et al. How Bad Can It Git? Characterizing Secret Leakage in Public GitHub Repositories. In: IEEE Symposium on Security and Privacy, 2019. Verfügbar unter: https://ieeexplore.ieee.org/document/8835224. Zugegriffen am: 13 abr. 2025.

MICROSOFT. Azure Key Vault Documentation. 2024. Verfügbar unter: https://learn.microsoft.com/azure/key-vault/. Zugegriffen am: 13 abr. 2025.

MITRE. ATT&CK Framework. 2024. Verfügbar unter: https://attack.mitre.org/. Zugegriffen am: 13 abr. 2025.

NIST. Digital Identity Guidelines – SP 800-63B. 2020a. Verfügbar unter: https://pages.nist.gov/800-63-3/sp800-63b.html. Zugegriffen am: 13 abr. 2025.

NIST. Recommendation for Key Management – SP 800-57 Part 1 Rev.5. 2020b. Verfügbar unter: https://csrc.nist.gov/publications/detail/sp/800-57-part-1/rev-5/final. Zugegriffen am: 13 abr. 2025.

NIST. Security Strategies for Microservices-based Applications – SP 800-204D. 2023a. Verfügbar unter: https://csrc.nist.gov/publications/detail/sp/800-204d/final. Zugegriffen am: 13 abr. 2025.

NIST. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. 2024a. Verfügbar unter: https://csrc.nist.gov/publications/detail/fips/203/final. Zugegriffen am: 13 abr. 2025.

NVD. CVE-2021-44228 Detail. 2021. Verfügbar unter: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Zugegriffen am: 13 abr. 2025.

OWASP. Secrets Management Cheat Sheet. 2023. Verfügbar unter: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html. Zugegriffen am: 13 abr. 2025.

RAHMAN, M. et al. Secrets in Source Code: Reducing False Positives using Machine Learning. In: ICSE, 2019. Verfügbar unter: https://ieeexplore.ieee.org/document/8811951. Zugegriffen am: 13 abr. 2025.

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. Verfügbar unter: https://ieeexplore.ieee.org/document/1451869. Zugegriffen am: 13 abr. 2025.

SHANNON, C. A Mathematical Theory of Communication. Bell System Technical Journal, 1948. Verfügbar unter: https://ieeexplore.ieee.org/document/6773024. Zugegriffen am: 13 abr. 2025.

TRUFFLEHOG. TruffleHog Documentation. 2024. Verfügbar unter: https://github.com/trufflesecurity/trufflehog. Zugegriffen am: 13 abr. 2025.