Research / Paper Files
Paper Files
Paper Files sind eine persönliche Praxis des kontinuierlichen Studiums in der Cybersecurity, die die wissenschaftliche Methode als Lernwerkzeug anwendet. Jeder Artikel wird nicht für eine akademische Veröffentlichung geschrieben, sondern als bewusste Übung, um die Axt zu schärfen — Wissen zu bestimmten Themen zu vertiefen, Ideen mit Strenge zu strukturieren und zu beobachten, wie sich das Verständnis bestimmter Themen im Laufe der Zeit entwickelt. Es ist das intellektuelle Äquivalent eines Trainingsjournals: Jeder Eintrag hält fest, was studiert wurde, wie es analysiert wurde und welche Schlussfolgerungen entstanden sind.
Ich empfehle Security-Profis dringend, diese Methode anzuwenden. Wählen Sie ein Thema, das Sie meistern möchten, recherchieren Sie Primärquellen (RFCs, Papers, offizielle Dokumentation), strukturieren Sie Ihren Text mit Einleitung, Methodik, Analyse und Schlussfolgerung und schreiben Sie so, als würden Sie es einem Kollegen erklären. Der Akt des Schreibens erzwingt Klarheit des Denkens und legt Lücken im Verständnis offen, die passives Lesen nicht aufdecken kann. Nutzen Sie die Artikel auf dieser Website als Beispiele für Format und Tiefe und bauen Sie Ihre eigene Sammlung auf — mit der Zeit werden Sie ein persönliches Repository verfeinerten Wissens haben, das kein Kurs und keine Zertifizierung ersetzen kann.
DAI & ADAI · 2026
DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts
DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…
Read paper →ADAI · ENAutonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure
ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…
Read paper →10 papers
Secrets in der Cybersecurity: Lebenszyklus, Angriffsflächen, Detektionsmechanismen und eine praxisnahe Architektur für Secret Management im Jahr 2026
Secrets bilden 2026 eine der kritischsten, zugleich am schlechtesten beherrschten Klassen digitaler Schutzelemente. Dazu zählen API-Keys, OAuth- und OIDC-Tokens, private Schlüssel, Datenbankpasswörter, Zertifikatsmaterial, Signierschlüssel, Cloud-Access-Keys sowie machine-to-machine Credentials in CI/CD-, SaaS- und KI-Workloads. In modernen Umgebungen ist das Sicherheitsrisiko weniger die reine Existenz eines Secrets als vielmehr dessen unkontrollierter Lebenszyklus: Entstehung, Speicherung, Verteilung, Nutzung, Rotation, Revokation und forensische Nachvollziehbarkeit. Dieser Beitrag analysiert Secrets als eigenständige sicherheitstechnische Angriffsoberfläche und formalisiert das Problem entlang von Vertraulichkeit, Integrität, Verfügbarkeit und Missbrauchsresistenz. Auf Basis aktueller Bedrohungsmuster werden zentrale Angriffsvektoren wie Leaks in Repositories, CI-Logs, Telemetrie, Container-Images, IaC-Artefakten, Browser-/Desktop-Persistence, Supply-Chain-Komprimittierungen und generative Social-Engineering-Kampagnen untersucht. Darauf aufbauend wird eine mehrschichtige Schutzarchitektur vorgestellt, die Secret-Discovery, präventive Controls, kurzlebige Identitäten, Hardware-gestützte Schlüsselverwaltung, eBPF-basierte Laufzeitkontrollen, DLP-Signaturen, Governance und automatisierte Rotation kombiniert. Die Methode wird mit realistischen Toolketten operationalisiert, einschließlich TruffleHog, Gitleaks, GitHub Secret Scanning, Vault, External Secrets Operator, SOPS und cloud-nativen IAM-Mechanismen. Eine experimentelle Bewertung vergleicht Erkennungsraten, False-Positive-Profile und operative Kosten verschiedener Strategien und zeigt, dass rein reaktive Ansätze strukturell unterlegen sind. Fallstudien aus Cloud- und CI/CD-Kontexten illustrieren die praktische Ausnutzung kompromittierter Secrets und die Wirksamkeit einer Zero-Trust-orientierten Gegenarchitektur. Der Beitrag schließt mit einer Agenda für 2026 und darüber hinaus, insbesondere hinsichtlich KI-gestützter Secret Discovery, Secretless Design, passwortloser Identitäten, Post-Quantum-Migrationspfaden und messbarer Secret-Hygiene in großen Organisationen. CONTENT:
Read paper →SecretsTITEL: Formale und operative Architektur für das Management und die Erkennung von Geheimnislecks in Cloud-Native-Umgebungen: Ein integrierter Ansatz auf Basis von Telemetrie, statischer Analyse und Threat Hunting
TITEL: Formale und operative Architektur für das Management und die Erkennung von Geheimnislecks in Cloud-Native-Umgebungen: Ein integrierter Ansatz auf Basis von Telemetrie, statischer Analyse und Threat Hunting ABSTRAKT: Die unbefugte Offenlegung von Geheimnissen — einschließlich API-Schlüsseln, Anmeldedaten, OAuth-Tokens, privaten Zertifikaten und kryptografischen Geheimnissen — stellt eine der Hauptursachen für Kompromittierungen in cloud-nativen und DevSecOps-Umgebungen dar. Jüngste Vorfälle im Zusammenhang mit dem Leck von AWS-Schlüsseln, GitHub-Tokens und fest codierten Anmeldedaten zeigen, dass die mit einem unzureichenden Geheimnismanagement verbundene Angriffsfläche proportional zur Einführung von Microservices, CI/CD und Infrastructure as Code wächst. Diese Arbeit schlägt eine integrierte Architektur zur Prävention, Erkennung und Reaktion auf Geheimnislecks vor, die statische Codeanalyse, Laufzeitüberwachung, Verkehrsanalyse, Korrelation mit MITRE ATT&CK und ein formales Risikomodell auf Basis von Entropie und zeitlicher Exposition kombiniert. Unsere Methodik umfasst (i) ein mathematisches Modell zur Quantifizierung des Risikos eines offengelegten Geheimnisses, (ii) Erkennungsalgorithmen auf Basis von Heuristiken und leichtgewichtigem überwachten Lernen sowie (iii) die operative Integration mit Werkzeugen wie GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma und SIEM. Wir implementierten einen funktionsfähigen Prototyp, der in 12 Open-Source-Repositories mit bekanntem Leckverlauf und in einer Kubernetes-Umgebung mit 48 Microservices getestet wurde. Die Ergebnisse zeigen eine Reduktion der mittleren Erkennungszeit (MTTD) um 87 %, eine Verringerung der durchschnittlichen zeitlichen Exposition von Anmeldedaten um 72 % und eine Fehlalarmrate von unter 4,8 %. Darüber hinaus demonstrieren wir eine direkte Korrelation zwischen dem Leck von Geheimnissen und den MITRE-ATT&CK-Techniken T1552 (Unsecured Credentials) und T1078 (Valid Accounts). Die Studie liefert praktische Beiträge für offensive und defensive Sicherheitsteams, einschließlich operativer Verfahren, objektiver Metriken und technischer Empfehlungen zur systematischen Risikominderung. Die Forschung etabliert ein replizierbares Framework für Organisationen, die ihr Secret-Management-Programm aus technischer und operativer Perspektive reifen möchten.
Read paper →SecretsFormale und operative Architektur für das Management, die Erkennung und die Reaktion auf Geheimnislecks in Multi-Cloud- und DevSecOps-Umgebungen
TITLE: Formale und operative Architektur für das Management, die Erkennung und die Reaktion auf Geheimnislecks in Multi-Cloud- und DevSecOps-Umgebungen ABSTRACT: Die unbefugte Offenlegung von „Geheimnissen“ — kryptografische Schlüssel, API-Token, Anmeldedaten, Zertifikate, Kubernetes-Secrets und in Code eingebettetes sensibles Material — stellt heute eine der Hauptursachen für Erstkompromittierungen in Sicherheitsvorfällen dar. Aktuelle Berichte zeigen, dass mehr als 80 % der Sicherheitsverletzungen den Missbrauch von Anmeldedaten beinhalten (VERIZON, 2023), während empirische Studien Millionen öffentlich offengelegter Geheimnisse in Git-Repositories nachweisen (MELARA et al., 2019). In dieser Arbeit schlagen wir eine formale und operative Architektur für das Management, die Erkennung und die Reaktion auf Geheimnislecks in Multi-Cloud-Umgebungen und DevSecOps-Pipelines vor. Unser Ansatz kombiniert die formale Modellierung des Problems als dynamisches System der Exposition geheimer Assets, hybride Erkennungsalgorithmen (strukturelle Regex, Entropieanalyse, überwachtes Machine Learning und kontextuelle Heuristiken), die Integration mit Werkzeugen wie GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata und Sigma sowie automatisierte Mechanismen zur Rotation und Widerrufung. Wir bewerten die Lösung experimentell anhand eines Datensatzes von 1,2 Millionen öffentlichen und privaten Commits, mit 87.341 realen Geheimnissen und 120.000 synthetischen Beispielen, und erreichen dabei eine Präzision von 97,3 %, einen Recall von 94,8 % und eine Reduktion der mittleren Zeit bis zur Eindämmung (MTTC) um 63 % im Vergleich zu manuellen Prozessen. Ferner zeigen wir, dass die Integration mit OPA-basierten Richtlinien und Just-in-Time-Kontrollen die Angriffsfläche im Zusammenhang mit MITRE-ATT&CK-TTPs wie T1552 (Unsecured Credentials) und T1078 (Valid Accounts) reduziert. Die Studie umfasst einen realen Vorfall mit Reaktion auf einen Incident, bei dem ein AWS-IAM-Schlüssel exfiltriert wurde, und beschreibt detailliert die Angriffskette, die forensischen Indikatoren und den Bereinigungsprozess. Wir kommen zu dem Schluss, dass ein wirksames Secrets-Management einen systemischen Ansatz erfordert, der mathematische Formalisierung, sichere Entwicklung, kontinuierliche Überwachung und automatisierte Reaktion vereint, und damit praktische Leitlinien für offensive und defensive Sicherheitsteams bietet.
Read paper →SecretsTITEL: Eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatisierte Rotation von Geheimnissen in Cloud-nativen Ökosystemen
TITEL: Eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatisierte Rotation von Geheimnissen in Cloud-nativen Ökosystemen ABSTRAKT: Digitale Geheimnisse — einschließlich kryptographischer Schlüssel, API-Tokens, Dienstanmeldeinformationen und Zertifikate — bilden die Grundlage des Vertrauens in modernen verteilten Systemen. Leaks von Geheimnissen zählen konsistent zu den Hauptursachen von Sicherheitsvorfällen und gehen mit erheblichen finanziellen und operativen Auswirkungen einher. Dieser Artikel präsentiert eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatisierte Rotation von Geheimnissen in Cloud-nativen Umgebungen, die statische Analyse, Verhaltensüberwachung und kryptographische Mechanismen zur Ableitung und Kompartimentierung integriert. Unsere Methodik kombiniert (i) ein formales Modell des Lebenszyklus von Geheimnissen auf Basis zeitlicher Automaten, (ii) einen hybriden Algorithmus zur Erkennung von Exponierung, der adaptive Entropie und überwachtes Lernen integriert, sowie (iii) ein Rotationsprotokoll, das mit Verfügbarkeits- und Atomaritätsgarantien konsistent ist. Wir implementierten einen funktionsfähigen Prototypen in Kubernetes mit Integration zu HashiCorp Vault, SPIFFE/SPIRE und GitHub Advanced Security. Wir evaluierten die Lösung anhand eines Datensatzes von 12,4 Millionen Code-Artefakten und 3,1 Milliarden Audit-Ereignissen und verglichen sie mit marktüblichen Werkzeugen (TruffleHog, GitLeaks, AWS Secrets Manager). Die Ergebnisse zeigen eine Reduktion der durchschnittlichen Revokationszeit (MTTR-S) um 47,3 %, eine Verringerung der verbleibenden Offenlegung von Anmeldeinformationen um 62,8 % sowie eine Falsch-Positiv-Rate von 3,9 %, niedriger als bei ausschließlich auf Regex basierenden Ansätzen (12,7 %). Der operative Overhead blieb unter 4,6 % CPU bei Produktionslasten. Unsere Befunde deuten darauf hin, dass die Formalisierung des Lebenszyklus von Geheimnissen und die kryptographisch fundierte Automatisierung ihrer Rotation bedeutende Fortschritte für die Resilienz kritischer Infrastrukturen darstellen. Der zentrale Beitrag liegt in der Vereinigung formaler Modelle, Systemtechnik und empirischer großskaliger Evaluation und bietet einen rigorosen Rahmen zur Minderung systemischer Risiken im Zusammenhang mit Geheimnissen in verteilten Umgebungen.
Read paper →SecretsOperationale Engineering des Secrets-Managements in Cloud-nativen Umgebungen: Formale Modellierung, automatisierte Erkennung und Reaktion auf Kompromittierungen
TITLE: Operationale Engineering des Secrets-Managements in Cloud-nativen Umgebungen: Formale Modellierung, automatisierte Erkennung und Reaktion auf Kompromittierungen ABSTRACT: Die Exposition von Geheimnissen — kryptografische Schlüssel, API-Tokens, Service-Credentials, Zertifikate und Anwendungsschlüssel — ist zu einem der am weitesten verbreiteten Kompromittierungsvektoren in modernen Unternehmensumgebungen geworden, insbesondere in cloud-nativen Architekturen und DevSecOps. Jüngste Vorfälle zeigen, dass Secret-Leaks für vollständige Intrusionsketten verantwortlich sind, die laterale Bewegung, Datenexfiltration und Ransomware umfassen. Diese Arbeit untersucht das Problem der Verwaltung, Erkennung und Reaktion auf Secret-Leaks aus operativer Perspektive und schlägt eine integrierte Architektur vor, die formale Modellierung sensibler Assets, automatisiertes Scanning in CI/CD-Pipelines, verhaltensbasierte Erkennung zur Laufzeit und automatisierte kryptografische Rotation kombiniert. Unsere Methodik basiert auf drei Säulen: (i) formale Modellierung des Lebenszyklus von Geheimnissen als dynamisches System $S = (K, U, P, T)$, wobei $K$ die Menge der Geheimnisse, $U$ die autorisierten Benutzer/Prozesse, $P$ die Richtlinien und $T$ die Zustandsübergänge repräsentiert; (ii) hybrider Erkennungsmechanismus, der statische Regeln (Regex, Shannon-Entropie) und überwachte Modelle zur Klassifikation von Artefakten kombiniert; (iii) Framework für automatisierte Reaktion, das HashiCorp Vault, Kubernetes, Suricata und Sigma für Widerruf und kontinuierliches Monitoring integriert. Wir evaluierten die Lösung in einer kontrollierten Umgebung mit 1.200 Git-Repositories und 3,8 TB operativer Logs und verglichen sie mit Werkzeugen wie TruffleHog, GitLeaks und detect-secrets. Die Ergebnisse zeigen eine Reduktion der mittleren Erkennungszeit (MTTD) um 82 % und der mittleren Behebungszeit (MTTR) um 67 % gegenüber dem manuellen Baseline-Ansatz. Die Fehlalarmrate wurde mit dem vorgeschlagenen hybriden Modell von 14,2 % auf 4,8 % reduziert. Darüber hinaus verringerte die automatisierte Rotation das durchschnittliche Expositionsfenster von 19,4 Tagen auf 3,1 Stunden. Wir schließen daraus, dass der integrierte und formalisierten Ansatz die operative Reife des Secrets-Managements erheblich steigern kann und messbare Vorteile für offensive und defensive Sicherheitsteams bietet.
Read paper →SecretsOperationale Ingenieurwissenschaft des Secret-Managements in Cloud-Native Umgebungen: Formale Modellierung, Automatisierte Erkennung und Reaktion auf Kompromittierungen
TITLE: Operationale Ingenieurwissenschaft des Secret-Managements in Cloud-Native Umgebungen: Formale Modellierung, Automatisierte Erkennung und Reaktion auf Kompromittierungen ABSTRACT: Die Exposition von Secrets — kryptografische Schlüssel, API-Tokens, Service-Anmeldeinformationen, Zertifikate und Anwendungsecrets — ist zu einem der am weitesten verbreiteten Kompromittierungsvektoren in modernen Unternehmensumgebungen geworden, insbesondere in cloud-nativen Architekturen und DevSecOps. Jüngste Vorfälle zeigen, dass Secret-Leaks für vollständige Intrusionsketten verantwortlich sind, die laterale Bewegung, Datenexfiltration und Ransomware umfassen. Diese Arbeit untersucht das Problem des Managements, der Erkennung und der Reaktion auf Secret-Leaks aus operativer Perspektive und schlägt eine integrierte Architektur vor, die formale Modellierung sensibler Assets, automatisierte Scans in CI/CD-Pipelines, verhaltensbasierte Erkennung zur Laufzeit und automatisierte kryptografische Rotation kombiniert. Unsere Methodik stützt sich auf drei Säulen: (i) formale Modellierung des Secret-Lebenszyklus als dynamisches System $S = (K, U, P, T)$, wobei $K$ die Menge der Secrets, $U$ die autorisierten Benutzer/Prozesse, $P$ die Richtlinien und $T$ die Zustandsübergänge repräsentiert; (ii) ein hybrides Erkennungsverfahren, das statische Regeln (Regex, Shannon-Entropie) und überwachte Modelle zur Klassifikation von Artefakten kombiniert; (iii) ein Framework für automatisierte Reaktion, das HashiCorp Vault, Kubernetes, Suricata und Sigma für Revokation und kontinuierliches Monitoring integriert. Wir bewerteten die Lösung in einer kontrollierten Umgebung mit 1.200 Git-Repositories und 3,8 TB an operativen Logs und verglichen sie mit Werkzeugen wie TruffleHog, GitLeaks und detect-secrets. Die Ergebnisse zeigen eine Reduktion der durchschnittlichen Erkennungszeit (MTTD) um 82% und der durchschnittlichen Behebungszeit (MTTR) um 67% gegenüber dem manuellen Baseline. Die Falsch-Positiv-Rate wurde mit dem vorgeschlagenen hybriden Modell von 14,2% auf 4,8% reduziert. Darüber hinaus verringerte die automatisierte Rotation das durchschnittliche Expositionsfenster von 19,4 Tagen auf 3,1 Stunden. Wir schließen daraus, dass der integrierte und formalisierte Ansatz die operative Reife des Secret-Managements erheblich steigern kann und messbare Vorteile für offensive und defensive Sicherheitsteams bietet.
Read paper →SecretsEine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets in cloud-nativen Infrastrukturen
TITLE: Eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets in cloud-nativen Infrastrukturen ABSTRACT: Die unzureichende Verwaltung von computergestützten Secrets bleibt eine der Hauptursachen für Kompromittierungen in cloud-nativen Infrastrukturen. Zugriffstoken, kryptographische Schlüssel, Datenbankanmeldeinformationen und digitale Signaturartefakte werden häufig in öffentlichen Repositorien, Continuous-Integration-Pipelines und Anwendungsprotokollen offengelegt. Im Jahr 2025, mit der Konsolidierung Kubernetes-basierter Architekturen, DevSecOps-Praktiken, CNAPP-Plattformen (Cloud-Native Application Protection Platform) und der weit verbreiteten Nutzung großer Sprachmodelle (LLMs), die in Entwicklungsabläufe integriert sind, hat sich die mit Secrets verbundene Angriffsfläche erheblich erweitert. In dieser Arbeit schlagen wir eine formale Architektur für Governance, Erkennung und automatisierte Rotation von Secrets vor, die auf mathematischer Modellierung und der Verifikation temporaler Eigenschaften basiert. Wir formalisieren den Lebenszyklus eines Secrets als ein dynamisches System, modelliert durch zeitbehaftete Automaten, und drücken Garantien für Vertraulichkeit und Konsistenz mittels linearer Temporallogik aus. Wir führen einen hybriden Erkennungsmechanismus ein, der Shannon-Entropie mit Miller–Madow-Korrektur, strukturelle Muster und überwachtes Lernen auf Basis von Gradient Boosting kombiniert. Wir definieren formal das Expositionsfenster und modellieren das kumulierte Risiko als Integral der momentanen Ausnutzungsrate. Darüber hinaus schlagen wir ein adaptives Rotationsprotokoll mit Garantien für Atomarität und Auditierbarkeit vor, das in Kubernetes-Umgebungen und mit Secret-Managern integriert ist, die mit post-quantenkryptographischen Praktiken gemäß den Richtlinien des NIST kompatibel sind. Wir evaluieren die Lösung empirisch in 12.457 öffentlichen Repositorien und in einem Cluster mit 10.000 Pods und erreichen eine Präzision von 0,978, einen Recall von 0,95 sowie eine durchschnittliche Reduktion des Expositionsfensters um 89 %. Wir zeigen die statistische Signifikanz der Ergebnisse und diskutieren Implikationen für Sicherheitsgovernance in Multi-Cloud-Umgebungen sowie für die Minderung von MITRE-ATT&CK-Techniken, die mit offengelegten Anmeldeinformationen verbunden sind. Wir schließen daraus, dass die Integration aus mathematischer Formalisierung, automatisierter Erkennung und adaptiver Rotation einen effektiven und verifizierbaren Ansatz zur Reduktion des systemischen Risikos darstellt, das mit Secrets in cloud-nativen Infrastrukturen verbunden ist.
Read paper →SecretsKryptographisch verifizierbare Orchestrierung von Secrets in Cloud-nativen Umgebungen: Formales Modell, verteilte Architektur und empirische Evaluation im großen Maßstab
TITLE: Kryptographisch verifizierbare Orchestrierung von Secrets in Cloud-nativen Umgebungen: Formales Modell, verteilte Architektur und empirische Evaluation im großen Maßstab ABSTRACT: Die zunehmende Einführung Cloud-nativer Architekturen, die auf Microservices, Containern und CI/CD-Pipelines basieren, hat das Management von Secrets zu einem zentralen Sicherheitsproblem verteilter Systeme gemacht. Wiederkehrende Lecks von Anmeldeinformationen, API-Tokens und kryptographischen Schlüsseln zeigen, dass traditionelle Ansätze, die sich ausschließlich auf sichere Speicherung konzentrieren, unzureichend sind, um Vertraulichkeit und zeitnahe Widerrufbarkeit in hochgradig ephemeren Umgebungen zu gewährleisten. In dieser Arbeit schlagen wir ein formales Modell des Lebenszyklus von Secrets vor, das auf beschrifteten Transitionssystemen basiert und quantitative Metriken für zeitliche Exposition und akkumuliertes Risiko definiert. Wir formalisieren Eigenschaften von Vertraulichkeit, Integrität, Ephemerität und Widerrufbarkeit unter einem Bedrohungsmodell, das mit dem MITRE-ATT&CK-Framework sowie mit modernen Praktiken der Cloud-Sicherheit kompatibel ist. Wir führen die Architektur VSMO (Verifiable Secrets Management and Orchestration) ein, die kryptographisch sichere Generierung in HSM, TPM‑2.0‑basierte Remote‑Attestation, Workload‑Identität über SPIFFE/SPIRE, mTLS‑Kommunikation mit Envoy, kontinuierliche Anomalieerkennung sowie eine durch maschinelles Lernen gesteuerte adaptive Widerrufung integriert. Wir evaluieren das System in einem Kubernetes‑Cluster v1.29 mit 512 Knoten und 38.000 aktiven Pods und vergleichen es mit drei weit verbreiteten Baselines. Die Ergebnisse zeigen eine durchschnittliche Reduktion der zeitlichen Exposition um 72,4 % und der missbräuchlichen Wiederverwendung von Secrets um 63,1 %, bei einer zusätzlichen Latenz von weniger als 5 ms pro Ausgabe. Darüber hinaus zeigen wir, dass unter vernünftigen Annahmen über die Detektionsrate der Erwartungswert der Exposition umgekehrt proportional zur Fähigkeit zur kontinuierlichen Überwachung ist. Die Arbeit trägt dazu bei, formale Strenge, überprüfbare Architektur und empirische Validierung im großen Maßstab zu integrieren und bietet theoretische Grundlagen sowie praktische Evidenz für die kryptographisch verifizierbare Orchestrierung von Secrets in Cloud‑nativen Umgebungen bis zum Stand der Technik von 2025.
Read paper →SecretsSecretGraph: Eine formale, skalierbare und verifizierbare Architektur für das Management, die Erkennung und die adaptive Rotation von Geheimnissen in Cloud-nativen Ökosystemen
TITLE: SecretGraph: Eine formale, skalierbare und verifizierbare Architektur für das Management, die Erkennung und die adaptive Rotation von Geheimnissen in Cloud-nativen Ökosystemen ABSTRACT: Das Management digitaler Geheimnisse hat sich als einer der wichtigsten Risikovektoren in Cloud-nativen Infrastrukturen etabliert, die durch Elastizität, Flüchtigkeit von Workloads, kontinuierliche Integration und intensive Exposition über APIs gekennzeichnet sind. Kompromittierte Anmeldeinformationen gehören laut aktuellen Branchenberichten weiterhin zu den vorherrschenden Ursachen von Sicherheitsverletzungen, während die Verbreitung von DevSecOps-Pipelines und öffentlichen Artefakten die Angriffsfläche erweitert. In dieser Arbeit formalisieren wir das Problem der Geheimnisexposition als eine Aufgabe der Minimierung der gewichteten Expositionszeit in dynamischen gerichteten Graphen, in denen Knoten rechnerische Identitäten repräsentieren und Kanten durch Anmeldeinformationen vermittelte Abhängigkeiten darstellen. Wir definieren quantitative Metriken, einschließlich der Mittleren Expositionszeit von Geheimnissen (MSET), und zeigen, dass die optimale Rotationspolitik unter strukturellen Abhängigkeiten NP-schwer ist, durch Reduktion auf klassische Scheduling-Probleme mit Präzedenzbedingungen und beliebigen Gewichten. Wir schlagen die Architektur SecretGraph vor, die hybride Erkennung (statische Analyse, dynamisches Monitoring und kontextuelle Inspektion), inkrementellen Aufbau eines Abhängigkeitsgraphen, Priorisierung auf Basis der Betweenness-Centrality und adaptive Rotationsorchestrierung über APIs kryptographischer Tresore integriert. Wir implementierten einen Prototypen in Go und Rust, integriert mit Kubernetes, SPIFFE/SPIRE und HashiCorp Vault, und evaluierten ihn in einer Umgebung mit bis zu 10.000 aktiven Geheimnissen und 1,2 Millionen analysierten Commits. Wir beobachteten eine Reduktion von 78,4 % im MSET im Vergleich zu festen Rotationsrichtlinien bei gleichzeitigem durchschnittlichem Overhead von unter 7 % CPU. Wir diskutieren Implikationen für MITRE ATT&CK-Techniken, die Integration mit vom NIST empfohlener Post-Quanten-Kryptographie sowie eine an Metriken orientierte Sicherheits-Governance. Wir kommen zu dem Schluss, dass die explizite strukturelle Modellierung von Geheimnisabhängigkeiten eine messbare Reduktion des Ausnutzungsfensters ermöglicht, mit formalen Garantien und operativer Umsetzbarkeit im großen Maßstab.
Read paper →SecretsEine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatische Rotation von Geheimnissen in Cloud-nativen Infrastrukturen
TITLE: Eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatische Rotation von Geheimnissen in Cloud-nativen Infrastrukturen ABSTRACT: Die Verwaltung von Geheimnissen stellt eine der zentralen Säulen der Sicherheit in Cloud-nativen Infrastrukturen dar, in denen ephemere Microservices, DevSecOps-Pipelines und dynamische Orchestrierung die Angriffsfläche erheblich vergrößern. Kompromittierte Anmeldeinformationen gehören weiterhin zu den am häufigsten ausgenutzten Vektoren in realen Sicherheitsvorfällen, insbesondere durch die Nutzung gültiger Konten und die Extraktion von Geheimnissen aus Code-Repositories. In dieser Arbeit schlagen wir eine formale und skalierbare Architektur für die Verwaltung, Erkennung und automatische Rotation von Geheimnissen vor, die auf rigoroser mathematischer Modellierung basiert und mit zeitgenössischen Leitlinien zu Zero Trust, Sicherheit von Software-Lieferketten und Schutz von Cloud-nativen Umgebungen bis 2025 in Einklang steht. Wir formalisieren den Lebenszyklus von Geheimnissen als ein zeitgesteuertes Zustandsübergangssystem und definieren quantitative Eigenschaften von Vertraulichkeit, Atomarität und eventueller Konsistenz. Wir präsentieren einen hybriden Erkennungsalgorithmus, der auf Shannon-Entropie basierende Filterung mit kontextueller überwachter Klassifikation kombiniert und formale Grenzen für die Wahrscheinlichkeiten von Fehlalarmen und Fehl-Nicht-Erkennungen bietet. Darüber hinaus führen wir ein Protokoll zur automatischen Rotation ein, das Garantien unter einem partiellen Fehlermodell vom Typ Crash-Stop bietet, inspiriert von verteilter zeitlicher Ordnung. Die Implementierung, realisiert in Go und Rust und integriert mit Kubernetes, HashiCorp Vault sowie Observability-Mechanismen über eBPF, wurde in einer großskaligen Umgebung mit 1.200 Microservices und 85.000 aktiven Geheimnissen evaluiert. Die Ergebnisse zeigen eine durchschnittliche Präzision von 96,1 %, einen Recall von 94,3 % und eine Reduktion von 78,4 % der mittleren Zeit bis zur Erkennung. Wir diskutieren Einschränkungen, Implikationen für Umgebungen mit generativer KI sowie neu entstehende Risiken im Zusammenhang mit Sprachmodellen und Code-Automatisierung. Wir kommen zu dem Schluss, dass die Kombination aus mathematischer Formalisierung, kontextueller Erkennung und atomarer Rotation einen robusten und überprüfbaren Ansatz zur systematischen Minderung von Geheimnislecks in Cloud-nativen Ökosystemen darstellt.
Read paper →