Paper Files / Secrets

SecretGraph: Eine formale, skalierbare und verifizierbare Architektur für das Management, die Erkennung und die adaptive Rotation von Geheimnissen in Cloud-nativen Ökosystemen

2007-03-19SecretsDE

TITLE: SecretGraph: Eine formale, skalierbare und verifizierbare Architektur für das Management, die Erkennung und die adaptive Rotation von Geheimnissen in Cloud-nativen Ökosystemen ABSTRACT: Das Management digitaler Geheimnisse hat sich als einer der wichtigsten Risikovektoren in Cloud-nativen Infrastrukturen etabliert, die durch Elastizität, Flüchtigkeit von Workloads, kontinuierliche Integration und intensive Exposition über APIs gekennzeichnet sind. Kompromittierte Anmeldeinformationen gehören laut aktuellen Branchenberichten weiterhin zu den vorherrschenden Ursachen von Sicherheitsverletzungen, während die Verbreitung von DevSecOps-Pipelines und öffentlichen Artefakten die Angriffsfläche erweitert. In dieser Arbeit formalisieren wir das Problem der Geheimnisexposition als eine Aufgabe der Minimierung der gewichteten Expositionszeit in dynamischen gerichteten Graphen, in denen Knoten rechnerische Identitäten repräsentieren und Kanten durch Anmeldeinformationen vermittelte Abhängigkeiten darstellen. Wir definieren quantitative Metriken, einschließlich der Mittleren Expositionszeit von Geheimnissen (MSET), und zeigen, dass die optimale Rotationspolitik unter strukturellen Abhängigkeiten NP-schwer ist, durch Reduktion auf klassische Scheduling-Probleme mit Präzedenzbedingungen und beliebigen Gewichten. Wir schlagen die Architektur SecretGraph vor, die hybride Erkennung (statische Analyse, dynamisches Monitoring und kontextuelle Inspektion), inkrementellen Aufbau eines Abhängigkeitsgraphen, Priorisierung auf Basis der Betweenness-Centrality und adaptive Rotationsorchestrierung über APIs kryptographischer Tresore integriert. Wir implementierten einen Prototypen in Go und Rust, integriert mit Kubernetes, SPIFFE/SPIRE und HashiCorp Vault, und evaluierten ihn in einer Umgebung mit bis zu 10.000 aktiven Geheimnissen und 1,2 Millionen analysierten Commits. Wir beobachteten eine Reduktion von 78,4 % im MSET im Vergleich zu festen Rotationsrichtlinien bei gleichzeitigem durchschnittlichem Overhead von unter 7 % CPU. Wir diskutieren Implikationen für MITRE ATT&CK-Techniken, die Integration mit vom NIST empfohlener Post-Quanten-Kryptographie sowie eine an Metriken orientierte Sicherheits-Governance. Wir kommen zu dem Schluss, dass die explizite strukturelle Modellierung von Geheimnisabhängigkeiten eine messbare Reduktion des Ausnutzungsfensters ermöglicht, mit formalen Garantien und operativer Umsetzbarkeit im großen Maßstab.

Einführung

Das Management digitaler Geheimnisse ist zu einem der zentralen Risikovektoren in zeitgenössischen Computerinfrastrukturen geworden, insbesondere in Cloud-nativen Umgebungen, die durch Elastizität, Flüchtigkeit von Workloads, Mikroservices und starke Kopplung über APIs gekennzeichnet sind. In dieser Arbeit definieren wir ein Geheimnis als jedes digitale Artefakt, dessen Vertraulichkeit erforderlich ist, um Eigenschaften der Authentizität, Integrität oder Vertraulichkeit in verteilten Systemen zu bewahren. Beispiele umfassen TLS-Privatschlüssel, OAuth‑2.0‑Token, Datenbankzugangsdaten, API-Schlüssel, X.509-Zertifikate, durch KMS verwaltete symmetrische Schlüssel sowie Objekte des Typs Secret in Kubernetes (KUBERNETES, 2023).

Empirische Evidenz unterstreicht die Zentralität dieses Problems. Der Bericht Data Breach Investigations Report (DBIR) hebt die Nutzung gültiger Zugangsdaten als wiederkehrenden Intrusionsvektor hervor (VERIZON, 2024). Berichte über die Offenlegung von Geheimnissen in öffentlichen Repositories weisen jährlich Millionen von Zugangsdaten nach, die in Git-Commits entdeckt werden (GITGUARDIAN, 2023). Im MITRE ATT&CK-Framework beschreiben Techniken wie T1552 (Unsecured Credentials) und T1078 (Valid Accounts) explizit die Nutzung legitimer Zugangsdaten für Persistenz, Privilegieneskalation und laterale Bewegung (MITRE, 2024). OWASP systematisiert wiederkehrende Fehler bei Speicherung, unzureichender Rotation und fehlender Funktionstrennung im Geheimnismanagement (OWASP, 2022).

Obwohl etablierte Lösungen wie HashiCorp Vault (HASHICORP, 2023), AWS KMS (AWS, 2023), Azure Key Vault (MICROSOFT, 2024) und Google Secret Manager (GOOGLE, 2024) kryptografisch geschützte Speicherung und Rotations-APIs bereitstellen, identifizieren wir strukturelle Einschränkungen: (i) fehlende formale Modellierung der aggregierten zeitlichen Exposition; (ii) schwache Integration zwischen automatisierter Erkennung und adaptiver Rotation; (iii) fehlende Priorisierung auf Basis struktureller Auswirkungen im Abhängigkeitsgraphen; und (iv) Mangel an vergleichbaren Metriken zwischen heterogenen und Multicloud-Umgebungen.

Daraus formulieren wir folgende Forschungsfragen:

RQ1: Wie lässt sich die Exposition von Geheimnissen in verteilten Systemen formal modellieren, sodass sie messbar und vergleichbar wird?

RQ2: Ist es möglich, die durchschnittliche Expositionszeit signifikant durch adaptive, an strukturellen Abhängigkeiten orientierte Rotation zu reduzieren?

RQ3: Welchen rechnerischen und asymptotischen Einfluss hat dieser Ansatz in großskaligen Umgebungen?

Unsere Beiträge sind: (C1) mathematische Formalisierung des Problems als Minimierung gewichteter zeitlicher Exposition in dynamischen gerichteten Graphen; (C2) Vorschlag der Architektur SecretGraph, die hybride Erkennung mit zentralitätsbasierter adaptiver Rotation kombiniert; und (C3) experimentelle Evaluation mit statistischer und asymptotischer Analyse.

Theoretische Grundlagen und verwandte Arbeiten

2.1 Formale Definitionen

Sei $S$ die Menge aktiver Geheimnisse zu einem bestimmten Zeitpunkt $t$. Wir definieren jedes Geheimnis als das Tupel:

$$ s = (v, t_c, t_e, \sigma, w) $$

wobei $v$ der kryptografische Wert ist; $t_c$ der Zeitpunkt der Erstellung; $t_e$ der geplante Ablaufzeitpunkt; $\sigma$ die Menge zugehöriger Scopes oder Berechtigungen repräsentiert; und $w \in \mathbb{R}^+$ ein Kritikalitätsgewicht bezeichnet, das aus potenziellen Auswirkungen abgeleitet wird.

Wir definieren die effektive Expositionszeit eines kompromittierten Geheimnisses als:

$$ T_{exp}(s) = \max(0, t_{rev} - t_{leak}) $$

wobei $t_{leak}$ der geschätzte Zeitpunkt des Leaks und $t_{rev}$ der Zeitpunkt der Widerrufung oder effektiven Rotation ist.

Sei $S_L \subseteq S$ die Teilmenge tatsächlich kompromittierter Geheimnisse. Wir definieren die Mittlere Expositionszeit von Geheimnissen (MSET) als:

$$ \text{MSET} = \frac{1}{|S_L|} \sum_{s \in S_L} T_{exp}(s) $$

Zusätzlich führen wir die gewichtete Metrik ein:

$$ \text{WMSET} = \frac{\sum_{s \in S_L} w_s \cdot T_{exp}(s)}{\sum_{s \in S_L} w_s} $$

die den nach Kritikalität angepassten Einfluss erfasst.

2.2 Modellierung mit dynamischen Graphen

Wir modellieren das System als dynamischen gerichteten Graphen:

$$ G_t = (V_t, E_t) $$

wobei $V_t$ Entitäten repräsentiert (Workloads, SPIFFE-Identitäten, Benutzer, serverlose Funktionen) und $E_t$ durch Geheimnisse vermittelte Abhängigkeitsbeziehungen darstellt. Eine Kante $(u \rightarrow v)$ zeigt an, dass $u$ von einem Geheimnis abhängt, das von $v$ kontrolliert oder ausgestellt wird.

Diese Modellierung ermöglicht die Anwendung klassischer Metriken der Graphentheorie, wie der Betweenness-Zentralität $C_B(v)$, definiert durch (BRANDES, 2001):

$$ C_B(v) = \sum_{s \neq v \neq t} \frac{\sigma_{st}(v)}{\sigma_{st}} $$

wobei $\sigma_{st}$ die Anzahl der kürzesten Wege zwischen $s$ und $t$ ist und $\sigma_{st}(v)$ diejenigen bezeichnet, die über $v$ verlaufen.

2.3 Verwandte Arbeiten

Die NIST SP 800-57 legt formale Richtlinien für den Lebenszyklus kryptografischer Schlüssel fest (NIST, 2020a), während sich NIST SP 800-63 mit digitaler Authentifizierung befasst (NIST, 2020b). NIST SP 800-207 führt das Zero-Trust-Modell ein und betont die kontinuierliche Validierung von Identitäten (NIST, 2020c). Im Jahr 2024 veröffentlichte das NIST erste Standards für Post-Quantum-Kryptographie, wie ML-KEM und ML-DSA (NIST, 2024), mit direkten Implikationen für die Rotation langfristiger Schlüssel.

Systeme wie SPIFFE/SPIRE implementieren workload-basierte Identität (SPIFFE, 2023) und reduzieren damit die Abhängigkeit von statischen Zugangsdaten. Im Kontext der Erkennung kombinieren hybride Ansätze statische Codeanalyse mit Laufzeitüberwachung.

Dennoch identifizieren wir in der Literatur keine explizite Formalisierung der Minimierung zeitlicher Exposition als Optimierungsproblem in dynamischen Graphen mit strukturellen Gewichten.

Bedrohungsmodell und Problemformulierung

Wir nehmen einen probabilistischen polynomialzeitlichen Angreifer $\mathcal{A}$ mit folgenden Fähigkeiten an: (i) Lesen öffentlicher Repositories und CI/CD-Artefakte; (ii) Kompromittierung einer Teilmenge $V_c \subset V$; und (iii) Nutzung gültiger Zugangsdaten für laterale Bewegung, wie im MITRE ATT&CK beschrieben (MITRE, 2024). Wir gehen nicht von einer Kompromittierung des Root-of-Trust-Moduls aus, wie etwa eines HSM oder einer zertifizierten Enklave.

Das Problem besteht darin, eine Rotationspolitik $\pi$ zu finden, die minimiert:

$$ \min_{\pi} \sum_{s \in S} w_s \cdot T_{exp}^{\pi}(s) $$

Wir argumentieren, dass das Problem NP-schwer ist, durch Reduktion vom Scheduling-Problem mit Präzedenzbedingungen und beliebigen Gewichten ($1|prec|\sum w_j C_j$), einem klassischen Problem der Komplexitätstheorie. Exakte optimale Lösungen werden daher im großen Maßstab unpraktikabel, was strukturelle Heuristiken rechtfertigt.

Vorgeschlagene Methodik

4.1 SecretGraph-Architektur

Die Architektur besteht aus vier Modulen:

Hybrider Scanner: statische Analyse von Repositories, Inspektion von Container-Images und dynamische Überwachung sensibler Variablen.
Inkrementeller Graphkonstruktor: kontinuierliche Aktualisierung von $G_t$ auf Grundlage beobachteter Ereignisse.
Priorisierungs-Engine: Berechnung von Zentralität und Gewichtung nach Kritikalität.
Rotations-Orchestrator: Aufruf von Vault-APIs (Vault, KMS) mit transaktionalem Rollback.

4.2 Komplexität

Die inkrementelle Konstruktion weist folgende Komplexität auf:

$$ O(|S| + |D| + |E|) $$

wobei $|D|$ erkannte Vorkommen darstellt. Die exakte Berechnung der Zentralität nach Brandes besitzt eine Komplexität von $O(|V||E|)$ für ungewichtete Graphen und kann durch Stichprobenverfahren auf $O(k|E|)$ reduziert werden.

4.3 Priorisierungsheuristik

Wir definieren:

$$ \text{priority}(s) = w_s \cdot C_B(owner(s)) $$

Geheimnisse werden in absteigender Prioritätsreihenfolge sortiert. Intuitiv werden Geheimnisse, die mit strukturell zentralen und wirkungsstarken Knoten verbunden sind, zuerst rotiert, wodurch das Potenzial lateraler Ausbreitung reduziert wird.

Implementierung

Wir implementierten einen Prototyp in Go und Rust, mit Kubernetes-Operatoren (CRDs) für deklarative Reconciliation. Die gegenseitige Authentifizierung zwischen Komponenten nutzt SPIFFE/SPIRE (SPIFFE, 2023). Die Rotation von Geheimnissen integriert sich über durch mTLS authentifizierte APIs mit HashiCorp Vault.

Vereinfachtes Beispiel einer deklarativen Richtlinie:

apiVersion: secretgraph.io/v1
kind: SecretPolicy
metadata:
  name: high-criticality
spec:
  rotationStrategy: adaptive
  weight: 0.9
  maxTTL: 168h

Wir beobachteten einen durchschnittlichen Overhead von 4,8 ms pro Anfrage während aktiver Rotation sowie eine CPU-Auslastung von unter 38% in einem Cluster mit 8 Knoten und 10.000 aktiven Geheimnissen.

Experimentelle Evaluation

6.1 Experimentelle Umgebung

Parameter	Wert
Knoten	8
vCPUs pro Knoten	32
RAM pro Knoten	128 GB
Aktive Geheimnisse	10.000
Analysierte Commits	1,2 Millionen

Berücksichtigte Baselines: (i) feste Rotation alle 30 Tage; (ii) detektionsbasierte Rotation ohne strukturelle Priorisierung.

6.2 Quantitative Ergebnisse

Metrik	Feste Baseline	Ohne Priorisierung	SecretGraph
MSET	72 h	41 h	15,5 h
Reduktion vs. fest	–	43%	78,4%
Falsch-positiv	13,7%	8,9%	4,2%
CPU-Overhead	1,2%	3,8%	6,3%

Wir wendeten einen gepaarten t-Test an und erhielten $p < 0,01$, was auf statistische Signifikanz bei der Reduktion des MSET hinweist.

Diskussion

Die Reduktion des Expositionsfensters beeinflusst direkt Techniken wie T1552 und T1078 (MITRE, 2024), indem die nutzbare Zeit für adversarielle Ausnutzung begrenzt wird. Die Einbindung von Post-Quanten-Kryptographie für langlebige Geheimnisse steht im Einklang mit den jüngsten Empfehlungen des NIST (NIST, 2024) und mindert prospektive Risiken.

Zu den Einschränkungen gehören die Kosten der Neuberechnung von Zentralitätsmaßen in dichten Graphen sowie die Abhängigkeit von der Qualität der Erkennung. Auf Sampling und inkrementeller Aktualisierung basierende Strategien reduzieren die asymptotischen Kosten.

Schlussfolgerung

Wir präsentierten die Architektur SecretGraph, die auf formaler Modellierung und heuristischer Optimierung in dynamischen Graphen basiert. Wir demonstrierten eine statistisch signifikante Reduktion der durchschnittlichen Expositionszeit bei akzeptablem operativem Overhead. Der Ansatz schlägt eine Brücke zwischen Graphentheorie, Security Engineering und metrikenorientierter Governance und trägt zu überprüfbaren Praktiken adaptiven Geheimnismanagements in Cloud-nativen Umgebungen bei.

References

AWS. AWS Key Management Service Developer Guide. 2023. Available at: https://docs.aws.amazon.com/kms/. Accessed on: 13 abr. 2025.

BRANDES, Ulrik. A faster algorithm for betweenness centrality. Journal of Mathematical Sociology, v. 25, n. 2, p. 163–177, 2001. Available at: https://doi.org/10.1080/0022250X.2001.9990249.

GITGUARDIAN. State of Secrets Sprawl Report 2023. 2023. Available at: https://www.gitguardian.com/state-of-secrets-sprawl-report.

GOOGLE. Secret Manager Documentation. 2024. Available at: https://cloud.google.com/secret-manager/docs.

HASHICORP. Vault Documentation. 2023. Available at: https://developer.hashicorp.com/vault/docs.

KUBERNETES. Secrets. 2023. Available at: https://kubernetes.io/docs/concepts/configuration/secret/.

MICROSOFT. Azure Key Vault Documentation. 2024. Available at: https://learn.microsoft.com/azure/key-vault/.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NIST. Recommendation for Key Management – SP 800-57 Part 1 Rev. 5. 2020a. Available at: https://csrc.nist.gov/publications/detail/sp/800-57-part-1/rev-5/final.

NIST. Digital Identity Guidelines – SP 800-63-3. 2020b. Available at: https://pages.nist.gov/800-63-3/.

NIST. Zero Trust Architecture – SP 800-207. 2020c. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final.

NIST. Post-Quantum Cryptography Standards. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography.

OWASP. Secrets Management Cheat Sheet. 2022. Available at: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html.

SPIFFE. SPIFFE/SPIRE Documentation. 2023. Available at: https://spiffe.io/docs/latest/.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.