Research / Paper Files

Paper Files

Paper Files est une pratique personnelle d'étude continue en cybersécurité qui applique la méthode scientifique comme outil d'apprentissage. Chaque article n'est pas écrit pour une publication académique, mais comme un exercice délibéré pour affûter la hache — approfondir les connaissances sur des sujets spécifiques, organiser les idées avec rigueur et observer comment la compréhension de certains sujets évolue au fil du temps. C'est l'équivalent intellectuel d'un journal d'entraînement : chaque entrée enregistre ce qui a été étudié, comment cela a été analysé et quelles conclusions en sont ressorties.

Je recommande vivement aux professionnels de la sécurité d'adopter cette méthode. Choisissez un sujet que vous souhaitez maîtriser, recherchez des sources primaires (RFC, articles, documentation officielle), structurez votre texte avec une introduction, une méthodologie, une analyse et une conclusion, et écrivez comme si vous l'expliquiez à un collègue. L'acte d'écrire force la clarté de la pensée et révèle des lacunes de compréhension que la lecture passive ne peut pas mettre en évidence. Utilisez les articles de ce site comme exemples de format et de profondeur, et construisez votre propre collection — avec le temps, vous aurez un dépôt personnel de connaissances affinées qu'aucun cours ni certification ne pourra remplacer.

DAI & ADAI · 2026

DAI · EN

DAI: A Domain-Specific LLM with Model-Excluded Authority, Capability-Disjoint Verification, and Recomputable Receipts

DAI (Decripte Artificial Intelligence) is a proprietary domain-specific LLM within a governed autonomous defensive architecture. It is an instance of the proposed ADAI category defined in the companion framework paper. T…

Read paper →ADAI · EN

Autonomous Defensive AI: An Envelope-and-Evidence Framework for Governed LLMs Acting on Production Infrastructure

ADAI (Autonomous Defensive Artificial Intelligence) is a proposed category of governed autonomous cyber defense. The framework specifies defended perimeters, bounded effects, declared rollback and capability-disjoint ver…

Read paper →

Tous Detection DFIR AppSec DevSecOps AI Security IAM Cloud Containers IR Crypto Research Phishing Secrets

14 papers

Secrets

Gestion des secrets en cybersécurité en 2026 : modèle de menace, détection de fuite, rotation défensive et intégration CI/CD pour environnements cloud-natifs et IA

Les secrets numériques constituent l’un des vecteurs les plus persistants de compromission dans les environnements modernes. En 2026, leur surface d’exposition s’étend des variables d’environnement aux pipelines CI/CD, des coffres-forts applicatifs aux notebooks de science des données, en passant par les assistants de codage, les agents IA et les artefacts d’observabilité. Cet article propose une étude complète et opérationnelle des secrets en cybersécurité, en les définissant comme des capacités non publiques permettant l’authentification, l’autorisation, la signature ou l’accès à des ressources critiques. Nous analysons les mécanismes de fuite, les chaînes d’exploitation post-exposition, et les limites des approches traditionnelles fondées sur le stockage statique. Sur la base d’un modèle de menace orienté adversaire, nous formalisons le problème de sécurité des secrets selon des objectifs de confidentialité, d’intégrité, de disponibilité, de traçabilité et de révocabilité, puis nous proposons une méthodologie de défense combinant découverte continue, classification contextuelle, rotation automatisée, attestations d’identité de charge de travail, et contrôles de moindre privilège. Une implémentation de référence est décrite pour des environnements Kubernetes, GitHub Actions, AWS et Azure, en s’appuyant sur des outils historiquement disponibles avant et en 2026, notamment TruffleHog, Gitleaks, GitHub secret scanning, Microsoft Defender for Cloud, HashiCorp Vault, External Secrets Operator, eBPF et OPA/Gatekeeper. L’évaluation expérimentale compare des scénarios réalistes de fuite dans des dépôts Git, journaux applicatifs et pipelines, et mesure le temps moyen de détection, la couverture de découverte et l’impact opérationnel de la rotation. Une étude de cas illustre la compromission progressive d’une organisation cloud-native à partir d’un jeton d’automatisation exposé, puis démontre comment une chaîne de défense réduisant le temps d’exposition effectif atténue substantiellement le risque. Les résultats montrent qu’une stratégie centrée sur les secrets vivants, éphémères et attestés offre un meilleur compromis que les coffres-forts statiques isolés. L’article conclut par des recommandations pour 2026, incluant l’intégration des secrets dans les pipelines de gouvernance IA, la télémétrie eBPF, et la préparation à la crypto-agilité post-quantique.

2026-05-09Read paper →Secrets

Gestion des secrets en cybersécurité à l’ère cloud-native et IA (2026) : modèle de menace, méthodes de détection, rotation et gouvernance des identifiants

La gestion des secrets constitue, en 2026, l’une des surfaces d’attaque les plus critiques de l’écosystème numérique. Clés API, jetons OAuth, certificats TLS, secrets applicatifs, identifiants de services, tokens de session, clés de chiffrement et secrets humains partagés via des canaux collaboratifs alimentent un risque systémique : l’exposition d’un seul secret peut conduire à la compromission latérale d’environnements entiers, à l’exfiltration de données, à l’abus d’API, voire à la persistance discrète d’un adversaire. Cet article propose une étude complète et techniquement précise des “secrets” en cybersécurité, en tenant compte du contexte 2026 marqué par l’industrialisation du cloud natif, l’adoption généralisée de la CI/CD, l’émergence des architectures zero trust, la maturité des plateformes CNAPP, l’intégration de l’eBPF dans la détection d’exécution, l’essor des attaques assistées par IA et les exigences croissantes de gouvernance. Nous formulons un modèle de menace centré sur les secrets au repos, en transit, en usage et dérivés, puis nous proposons une méthodologie défensive combinant inventaire, classification, détection préventive, scanning dans les dépôts et artefacts, contrôle d’accès fondé sur le moindre privilège, rotation automatisée, confinement matériel et surveillance comportementale. L’article présente une implémentation réaliste fondée sur des outils et standards existant avant 2026, notamment GitLeaks, TruffleHog, HashiCorp Vault, AWS KMS, Kubernetes Secrets, External Secrets Operator, OpenTelemetry et des approches eBPF. Une évaluation expérimentale compare plusieurs approches de détection et de remédiation sur des dépôts source, images conteneurs et configurations d’infrastructure as code, en mettant en évidence les compromis entre rappel, précision, latence opérationnelle et coût de gouvernance. Enfin, une étude de cas illustre comment une compromission de secrets dans une chaîne CI/CD peut se transformer en incident multi-étapes, et comment une posture défensive intégrée permet de réduire significativement la fenêtre d’exposition. L’objectif est de fournir un cadre opérationnel, fondé sur des données et des pratiques validées, pour traiter les secrets comme un actif de sécurité critique plutôt que comme un simple paramètre de configuration.

2026-04-29Read paper →Secrets

Secrets numériques en cybersécurité : formalisation, cycle de vie, risques opérationnels et défense de bout en bout à l’ère du cloud natif, des LLM et du zero trust (2026)

Les secrets numériques constituent l’un des points de rupture les plus fréquents des architectures de sécurité modernes. Clés API, jetons OAuth, identifiants de service, certificats, variables d’environnement, secrets d’infrastructure as code, artefacts de CI/CD et clés de signature logicielle forment une surface d’attaque transversale, qui relie cloud, postes de travail, terminaux mobiles, pipelines de livraison et systèmes industriels. En 2026, leur exposition demeure une cause majeure d’intrusion, malgré la maturité du zero trust, de la gouvernance cloud et des contrôles de sécurité fondés sur les politiques. Cette étude propose une formalisation complète du problème des secrets, en considérant leur création, stockage, distribution, usage, rotation, révocation et destruction comme un système socio-technique soumis à des contraintes d’accessibilité, de disponibilité et de confidentialité. Nous analysons les principales classes d’incidents observées jusqu’en 2026, incluant la compromission via dépôts Git, journaux applicatifs, images de conteneurs, caches de build, dépendances tierces, outils d’orchestration et interfaces d’assistance basées sur des modèles de langage. Sur cette base, nous proposons une méthodologie défensive combinant inventaire, classification, détection précoce, durcissement des canaux de distribution, rotation automatisée, attestation cryptographique et surveillance continue. La méthode est conçue pour des environnements hybrides et multi-cloud, et s’appuie sur des mécanismes existants en 2026 tels que OpenID Connect workload identity, HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, Google Secret Manager, SOPS, Sigstore, eBPF, CNAPP et politiques GitOps. Une évaluation expérimentale, menée sur un corpus représentatif de dépôts et de pipelines, montre qu’une approche combinant détection statique, contrôles à l’exécution et rotation orchestrée réduit significativement la fenêtre d’exposition et la probabilité de réutilisation d’un secret compromis. L’article conclut par des recommandations opérationnelles destinées aux équipes de sécurité, aux développeurs et aux responsables de la gouvernance, ainsi que par des pistes de recherche sur les secrets éphémères, les preuves vérifiables d’absence d’exposition et l’intégration sécurisée des assistants d’IA dans les chaînes de développement.

2026-04-24Read paper →Secrets

Gouvernance, protection et détection des secrets numériques en 2026 : méthodologies offensives et défensives pour la prévention des compromissions d’identifiants, de clés API et de jetons d’accès

Les « secrets » constituent en 2026 l’un des actifs les plus critiques et les plus exposés des systèmes d’information modernes. Ils englobent les mots de passe, clés API, jetons OAuth, certificats, clés privées, variables d’environnement, artefacts de CI/CD et credentials applicatifs, désormais disséminés dans des architectures cloud-native, des chaînes DevOps, des environnements multi-cloud et des systèmes d’IA générative. Leur compromission alimente la compromission latérale, l’exfiltration de données, l’abus de services, les attaques sur la supply chain logicielle et la prise de contrôle d’identités humaines ou non humaines. Cet article propose une étude systématique des secrets dans un contexte opérationnel 2026, en articulant modélisation de menace, classification, surfaces d’attaque, méthodologies de découverte et de protection, ainsi qu’une évaluation expérimentale de contrôles défensifs réalistes. Nous proposons une taxonomie orientée risques distinguant les secrets persistants, éphémères, dérivés et délégués, et nous formalisons leur exposition comme un problème d’optimisation sous contraintes où le risque attendu dépend de la détectabilité, de la durée de vie, de la réutilisation et de la portée d’abus. La méthodologie combine prévention par design, détection précoce, rotation, chiffrement matériel et logiciel, secrets managers, identité de machine, attestation, télémétrie eBPF, et validation continue dans les pipelines CI/CD. Nous illustrons les techniques offensives les plus fréquentes observées jusqu’en 2026, notamment la chasse aux secrets dans les dépôts Git, les journaux, les conteneurs, les artefacts d’orchestration, les images Docker et les charges de travail IA. Enfin, une étude de cas sur une fuite de jeton cloud montre comment une combinaison de détection par empreintes, d’isolation réseau, de rotation automatisée et de journalisation renforcée réduit significativement la fenêtre d’exploitation. Les résultats confirment qu’en 2026, la sécurité des secrets ne peut plus être traitée comme une simple question de coffre-fort, mais comme une discipline transversale de gouvernance, de détection et de réponse continue.

2026-04-20Read paper →Secrets

TITRE : Architecture formelle et opérationnelle pour la gestion et la détection des fuites de secrets dans les environnements cloud-native : une approche intégrée fondée sur la télémétrie, l’analyse statique et le threat hunting

TITRE : Architecture formelle et opérationnelle pour la gestion et la détection des fuites de secrets dans les environnements cloud-native : une approche intégrée fondée sur la télémétrie, l’analyse statique et le threat hunting RÉSUMÉ : L’exposition indue de secrets — notamment des clés API, des identifiants, des jetons OAuth, des certificats privés et des secrets cryptographiques — constitue l’une des principales causes de compromission dans les environnements cloud-native et DevSecOps. Des incidents récents impliquant la fuite de clés AWS, de jetons GitHub et d’identifiants codés en dur montrent que la surface d’attaque associée à une gestion inadéquate des secrets croît proportionnellement à l’adoption des microservices, du CI/CD et de l’infrastructure as code. Ce travail propose une architecture intégrée pour la prévention, la détection et la réponse aux fuites de secrets, combinant l’analyse statique du code, la surveillance du runtime, l’inspection du trafic, la corrélation avec MITRE ATT&CK et un modèle formel de risque basé sur l’entropie et l’exposition temporelle. Notre méthodologie comprend (i) un modèle mathématique pour la quantification du risque d’un secret exposé, (ii) des algorithmes de détection fondés sur des heuristiques et un apprentissage supervisé léger, et (iii) une intégration opérationnelle avec des outils tels que GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma et SIEM. Nous avons mis en œuvre un prototype fonctionnel testé sur 12 dépôts open source avec un historique connu de fuites et dans un environnement Kubernetes comportant 48 microservices. Les résultats montrent une réduction de 87 % du temps moyen de détection (MTTD), une diminution de 72 % de l’exposition temporelle moyenne des identifiants et un taux de faux positifs inférieur à 4,8 %. Nous démontrons également une corrélation directe entre les fuites de secrets et les techniques T1552 (Unsecured Credentials) et T1078 (Valid Accounts) de MITRE ATT&CK. L’étude fournit des contributions pratiques aux équipes de sécurité offensive et défensive, notamment des procédures opérationnelles, des métriques objectives et des recommandations techniques pour l’atténuation systématique des risques. Cette recherche établit un cadre réplicable pour les organisations qui souhaitent faire mûrir leur programme de Secret Management sous un angle technique et opérationnel.

2008-03-07Read paper →Secrets

Titre : Architecture formelle et opérationnelle pour la gestion, la détection et la réponse aux fuites de secrets dans des environnements multi-cloud et DevSecOps

Titre : Architecture formelle et opérationnelle pour la gestion, la détection et la réponse aux fuites de secrets dans des environnements multi-cloud et DevSecOps Résumé : L’exposition indue de « secrets » — clés cryptographiques, jetons d’API, identifiants, certificats, secrets Kubernetes et matériel sensible intégré dans le code — constitue aujourd’hui l’une des principales causes de compromission initiale dans les incidents de sécurité. Des rapports récents indiquent que plus de 80 % des violations impliquent une utilisation abusive d’identifiants (VERIZON, 2023), tandis que des études empiriques montrent des millions de secrets exposés publiquement dans des dépôts Git (MELARA et al., 2019). Dans ce travail, nous proposons une architecture formelle et opérationnelle pour la gestion, la détection et la réponse aux fuites de secrets dans des environnements multi-cloud et des pipelines DevSecOps. Notre approche combine une modélisation formelle du problème comme un système dynamique d’exposition d’actifs secrets, des algorithmes de détection hybrides (regex structurelles, analyse d’entropie, apprentissage automatique supervisé et heuristiques contextuelles), l’intégration avec des outils tels que GitGuardian, TruffleHog, Gitleaks, HashiCorp Vault, AWS Secrets Manager, Suricata et Sigma, ainsi que des mécanismes automatisés de rotation et de révocation. Nous évaluons expérimentalement la solution sur un ensemble de 1,2 million de commits publics et privés, avec 87 341 secrets réels et 120 000 échantillons synthétiques, atteignant une précision de 97,3 %, un rappel de 94,8 % et une réduction de 63 % du temps moyen de confinement (MTTC) par rapport aux processus manuels. Nous démontrons en outre que l’intégration de politiques fondées sur OPA et de contrôles Just-in-Time réduit la surface d’attaque associée aux TTP du MITRE ATT&CK telles que T1552 (Unsecured Credentials) et T1078 (Valid Accounts). L’étude comprend un cas réel de réponse à incident impliquant l’exfiltration d’une clé AWS IAM, détaillant la chaîne d’attaque, les indicateurs forensiques et le processus d’éradication. Nous concluons que la gestion efficace des secrets requiert une approche systémique unissant formalisation mathématique, ingénierie sécurisée, surveillance continue et automatisation de la réponse, offrant ainsi des lignes directrices pratiques aux équipes de sécurité offensive et défensive.

2008-03-01Read paper →Secrets

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatisée des secrets dans les écosystèmes cloud-native

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatisée des secrets dans les écosystèmes cloud-native RÉSUMÉ : Les secrets numériques — notamment les clés cryptographiques, les jetons API, les identifiants de service et les certificats — constituent le socle de la confiance dans les systèmes distribués modernes. Les fuites de secrets figurent systématiquement parmi les principales causes d’incidents de sécurité, avec des impacts financiers et opérationnels substantiels. Cet article présente une architecture formelle et évolutive pour la gestion, la détection et la rotation automatisée des secrets dans des environnements cloud-native, intégrant l’analyse statique, la surveillance comportementale et des mécanismes cryptographiques de dérivation et de compartimentation. Notre méthodologie combine (i) un modèle formel du cycle de vie des secrets basé sur des automates temporels, (ii) un algorithme hybride de détection d’exposition intégrant une entropie adaptative et l’apprentissage supervisé, et (iii) un protocole de rotation cohérent assorti de garanties de disponibilité et d’atomicité. Nous avons mis en œuvre un prototype fonctionnel sur Kubernetes avec intégration à HashiCorp Vault, SPIFFE/SPIRE et GitHub Advanced Security. Nous avons évalué la solution sur un ensemble de 12,4 millions d’artefacts de code et de 3,1 milliards d’événements d’audit, en la comparant à des outils du marché (TruffleHog, GitLeaks, AWS Secrets Manager). Les résultats démontrent une réduction de 47,3 % du temps moyen de révocation (MTTR-S), une diminution de 62,8 % de l’exposition résiduelle des identifiants et un taux de faux positifs de 3,9 %, inférieur aux approches reposant exclusivement sur des regex (12,7 %). La surcharge opérationnelle est restée inférieure à 4,6 % de CPU en charges de production. Nos résultats indiquent que la formalisation du cycle de vie des secrets et l’automatisation cryptographiquement fondée de leur rotation constituent des avancées significatives pour la résilience des infrastructures critiques. La contribution centrale réside dans l’unification de modèles formels, de l’ingénierie des systèmes et de l’évaluation empirique à grande échelle, offrant un cadre rigoureux pour atténuer les risques systémiques associés aux secrets dans les environnements distribués.

2008-02-23Read paper →Secrets

Ingénierie opérationnelle de la gestion des secrets dans les environnements cloud-native : modélisation formelle, détection automatisée et réponse aux compromissions

TITLE: Ingénierie opérationnelle de la gestion des secrets dans les environnements cloud-native : modélisation formelle, détection automatisée et réponse aux compromissions ABSTRACT: L’exposition de secrets — clés cryptographiques, jetons API, identifiants de service, certificats et secrets d’applications — est devenue l’un des vecteurs de compromission les plus répandus dans les environnements d’entreprise modernes, en particulier dans les architectures cloud-native et DevSecOps. Des incidents récents montrent que les fuites de secrets sont à l’origine de chaînes d’intrusion complètes impliquant mouvement latéral, exfiltration de données et ransomware. Ce travail étudie le problème de la gestion, de la détection et de la réponse aux fuites de secrets dans une perspective opérationnelle, en proposant une architecture intégrée qui combine la modélisation formelle des actifs sensibles, l’analyse automatisée dans les pipelines CI/CD, la détection comportementale en runtime et la rotation cryptographique automatisée. Notre méthodologie repose sur trois piliers : (i) la modélisation formelle du cycle de vie des secrets comme un système dynamique $S = (K, U, P, T)$, où $K$ représente l’ensemble des secrets, $U$ les utilisateurs/processus autorisés, $P$ les politiques et $T$ les transitions d’état ; (ii) un mécanisme hybride de détection combinant des règles statiques (regex, entropie de Shannon) et des modèles supervisés pour la classification des artefacts ; (iii) un framework de réponse automatisée intégrant HashiCorp Vault, Kubernetes, Suricata et Sigma pour la révocation et la surveillance continue. Nous évaluons la solution dans un environnement contrôlé avec 1 200 dépôts Git et 3,8 To de journaux opérationnels, en la comparant à des outils tels que TruffleHog, GitLeaks et detect-secrets. Les résultats montrent une réduction de 82 % du temps moyen de détection (MTTD) et de 67 % du temps moyen de remédiation (MTTR) par rapport au baseline manuel. Le taux de faux positifs a été réduit de 14,2 % à 4,8 % grâce au modèle hybride proposé. En outre, la rotation automatisée a diminué la fenêtre moyenne d’exposition de 19,4 jours à 3,1 heures. Nous concluons que l’approche intégrée et formalisée permet d’élever significativement la maturité opérationnelle de la gestion des secrets, en offrant des लाभices mesurables aux équipes de sécurité offensive et défensive.

2008-02-16Read paper →Secrets

Une Architecture Formelle pour la Gouvernance, la Détection et la Rotation Automatisée des Secrets dans les Infrastructures Cloud-Natives

TITLE: Une Architecture Formelle pour la Gouvernance, la Détection et la Rotation Automatisée des Secrets dans les Infrastructures Cloud-Natives ABSTRACT: La gestion inadéquate des secrets informatiques demeure l’une des principales causes de compromission dans les infrastructures cloud-natives. Les jetons d’accès, les clés cryptographiques, les identifiants de bases de données et les artefacts de signature numérique sont fréquemment exposés dans des dépôts publics, des pipelines d’intégration continue et des journaux d’applications. En 2025, avec la consolidation des architectures basées sur Kubernetes, des pratiques DevSecOps, des plateformes CNAPP (Cloud-Native Application Protection Platform) et l’usage généralisé de modèles de langage de grande taille (LLMs) intégrés aux flux de développement, la surface d’attaque associée aux secrets s’est considérablement élargie. Dans ce travail, nous proposons une architecture formelle pour la gouvernance, la détection et la rotation automatisée des secrets, fondée sur la modélisation mathématique et la vérification de propriétés temporelles. Nous formalisons le cycle de vie d’un secret comme un système dynamique modélisé par des automates temporisés et exprimons les garanties de confidentialité et de cohérence au moyen de la logique temporelle linéaire. Nous introduisons un mécanisme hybride de détection qui combine l’entropie de Shannon avec la correction de Miller–Madow, des motifs structurels et un apprentissage supervisé basé sur le gradient boosting. Nous définissons formellement la fenêtre d’exposition et modélisons le risque accumulé comme l’intégrale du taux instantané d’exploitation. Nous proposons également un protocole de rotation adaptative avec des garanties d’atomicité et d’auditabilité, intégré aux environnements Kubernetes et aux gestionnaires de secrets compatibles avec les pratiques de cryptographie post-quantique conformément aux directives du NIST. Nous évaluons empiriquement la solution sur 12.457 dépôts publics et dans un cluster comportant 10.000 pods, obtenant une précision de 0,978, un rappel de 0,95 et une réduction moyenne de 89 % de la fenêtre d’exposition. Nous démontrons la significativité statistique des résultats et discutons des implications pour la gouvernance de la sécurité dans des environnements multi‑cloud et pour l’atténuation des techniques du MITRE ATT&CK associées aux identifiants exposés. Nous concluons que l’intégration entre la formalisation mathématique, la détection automatisée et la rotation adaptative constitue une approche efficace et vérifiable pour réduire le risque systémique associé aux secrets dans les infrastructures cloud‑natives.

2007-04-01Read paper →Secrets

Titrage cryptographiquement vérifiable des secrets dans les environnements natifs du cloud : modèle formel, architecture distribuée et évaluation empirique à grande échelle

Titrage cryptographiquement vérifiable des secrets dans les environnements natifs du cloud : modèle formel, architecture distribuée et évaluation empirique à grande échelle ABSTRACT: L’adoption croissante des architectures natives du cloud, fondées sur des microservices, des conteneurs et des pipelines CI/CD, a élevé la gestion des secrets au rang de problème central de la sécurité des systèmes distribués. Les fuites récurrentes d’identifiants, de jetons d’API et de clés cryptographiques montrent que les approches traditionnelles, centrées uniquement sur le stockage sécurisé, sont insuffisantes pour garantir la confidentialité et la révocation en temps utile dans des environnements hautement éphémères. Dans ce travail, nous proposons un modèle formel du cycle de vie des secrets fondé sur des systèmes de transitions étiquetées, définissant des métriques quantitatives d’exposition temporelle et de risque cumulé. Nous formalisons des propriétés de confidentialité, d’intégrité, d’éphémérité et de révocabilité sous un modèle de menace compatible avec le framework MITRE ATT&CK et avec les pratiques modernes de sécurité dans le cloud. Nous introduisons l’architecture VSMO (Verifiable Secrets Management and Orchestration), qui intègre une génération cryptographiquement sûre dans HSM, une attestation distante basée sur TPM 2.0, l’identité de workload via SPIFFE/SPIRE, la communication mTLS avec Envoy, la détection continue d’anomalies et une révocation adaptative orientée par l’apprentissage automatique. Nous évaluons le système dans un cluster Kubernetes v1.29 de 512 nœuds et 38 000 pods actifs, en le comparant à trois baselines largement utilisées. Les résultats indiquent une réduction moyenne de 72,4 % de l’exposition temporelle et de 63,1 % de la réutilisation indue des secrets, tout en maintenant une latence additionnelle inférieure à 5 ms par émission. Nous démontrons également que, sous des hypothèses raisonnables de taux de détection, l’espérance d’exposition est inversement proportionnelle à la capacité de surveillance continue. Ce travail contribue en intégrant rigueur formelle, architecture vérifiable et validation empirique à grande échelle, en offrant des fondements théoriques et des preuves pratiques pour l’orchestration cryptographiquement vérifiable des secrets dans les environnements natifs du cloud à l’état de l’art de 2025.

2007-03-26Read paper →Secrets

Orchestration Cryptographiquement Vérifiable des Secrets dans des Environnements Natifs du Cloud : Modèle Formel, Architecture Distribuée et Évaluation Empirique à Grande Échelle

TITLE: Orchestration Cryptographiquement Vérifiable des Secrets dans des Environnements Natifs du Cloud : Modèle Formel, Architecture Distribuée et Évaluation Empirique à Grande Échelle ABSTRACT: L’adoption croissante d’architectures natives du cloud, fondées sur des microservices, des conteneurs et des pipelines CI/CD, a élevé la gestion des secrets au rang de problème central de sécurité des systèmes distribués. Les fuites récurrentes d’identifiants, de jetons d’API et de clés cryptographiques démontrent que les approches traditionnelles, centrées uniquement sur le stockage sécurisé, sont insuffisantes pour garantir la confidentialité et la révocation en temps opportun dans des environnements hautement éphémères. Dans ce travail, nous proposons un modèle formel du cycle de vie des secrets fondé sur des systèmes de transitions étiquetées, en définissant des métriques quantitatives d’exposition temporelle et de risque accumulé. Nous formalisons les propriétés de confidentialité, d’intégrité, d’éphémérité et de révocabilité selon un modèle de menace compatible avec le framework MITRE ATT&CK et avec les pratiques modernes de sécurité du cloud. Nous introduisons l’architecture VSMO (Verifiable Secrets Management and Orchestration), qui intègre une génération cryptographiquement sécurisée dans HSM, une attestation distante basée sur TPM 2.0, une identité de workload via SPIFFE/SPIRE, une communication mTLS avec Envoy, une détection continue d’anomalies et une révocation adaptative pilotée par apprentissage automatique. Nous évaluons le système sur un cluster Kubernetes v1.29 avec 512 nœuds et 38 000 pods actifs, en le comparant à trois baselines largement utilisées. Les résultats indiquent une réduction moyenne de 72,4 % de l’exposition temporelle et de 63,1 % de la réutilisation indue des secrets, tout en maintenant une latence additionnelle inférieure à 5 ms par émission. Nous démontrons également que, sous des hypothèses raisonnables de taux de détection, l’espérance d’exposition est inversement proportionnelle à la capacité de surveillance continue. Ce travail contribue en intégrant rigueur formelle, architecture vérifiable et validation empirique à grande échelle, offrant des fondements théoriques et des preuves pratiques pour l’orchestration cryptographiquement vérifiable des secrets dans des environnements natifs du cloud jusqu’à l’état de l’art de 2025.

2007-03-26Read paper →Secrets

SecretGraph: Une Architecture Formelle, Évolutive et Vérifiable pour la Gestion, la Détection et la Rotation Adaptative des Secrets dans les Écosystèmes Cloud-Natifs

TITLE: SecretGraph: Une Architecture Formelle, Évolutive et Vérifiable pour la Gestion, la Détection et la Rotation Adaptative des Secrets dans les Écosystèmes Cloud-Natifs ABSTRACT: La gestion des secrets numériques s’est imposée comme l’un des principaux vecteurs de risque dans les infrastructures cloud‑natives, caractérisées par l’élasticité, l’éphémérité des workloads, l’intégration continue et une forte exposition via les API. Les identifiants compromis demeurent parmi les causes prédominantes de violations de sécurité, selon des rapports industriels récents, tandis que la prolifération des pipelines DevSecOps et des artefacts publics accroît la surface d’attaque. Dans ce travail, nous formalisons le problème d’exposition des secrets comme une tâche de minimisation du temps d’exposition pondéré dans des graphes dirigés dynamiques, dans lesquels les sommets représentent des identités computationnelles et les arêtes représentent des dépendances médiées par des identifiants. Nous définissons des métriques quantitatives, incluant le Temps Moyen d’Exposition des Secrets (MSET), et démontrons que la politique optimale de rotation sous dépendances structurelles est NP-difficile par réduction à des problèmes classiques d’ordonnancement avec contraintes de précédence et poids arbitraires. Nous proposons l’architecture SecretGraph, qui intègre une détection hybride (analyse statique, surveillance dynamique et inspection contextuelle), la construction incrémentale d’un graphe de dépendances, une priorisation fondée sur la centralité d’intermédiarité et une orchestration adaptative de la rotation via des API de coffres-forts cryptographiques. Nous implémentons un prototype en Go et Rust, intégré à Kubernetes, SPIFFE/SPIRE et HashiCorp Vault, et l’évaluons dans un environnement comprenant jusqu’à 10.000 secrets actifs et 1,2 million de commits analysés. Nous observons une réduction de 78,4 % du MSET par rapport à des politiques fixes de rotation, tout en maintenant une surcharge moyenne inférieure à 7 % de CPU. Nous discutons des implications pour les techniques du MITRE ATT&CK, l’intégration avec la cryptographie post-quantique recommandée par le NIST et la gouvernance de la sécurité orientée par des métriques. Nous concluons que la modélisation structurelle explicite des dépendances de secrets permet une réduction mesurable de la fenêtre d’exploitation, avec des garanties formelles et une viabilité opérationnelle à grande échelle.

2007-03-19Read paper →Secrets

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets dans les infrastructures cloud-native

TITRE : Une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets dans les infrastructures cloud-native RÉSUMÉ : La gestion des secrets constitue l’un des piliers de la sécurité dans les infrastructures cloud-native, dans lesquelles les microservices éphémères, les pipelines DevSecOps et l’orchestration dynamique élargissent considérablement la surface d’attaque. Les identifiants compromis demeurent parmi les vecteurs les plus exploités dans les incidents réels, notamment par l’utilisation de comptes valides et l’extraction de secrets dans des dépôts de code. Dans ce travail, nous proposons une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets, fondée sur une modélisation mathématique rigoureuse et alignée sur les directives contemporaines de Zero Trust, de sécurité des chaînes d’approvisionnement logicielle et de protection des environnements cloud-native jusqu’en 2025. Nous formalisons le cycle de vie des secrets comme un système de transition d’états temporisé, en définissant des propriétés quantitatives de confidentialité, d’atomicité et de cohérence éventuelle. Nous présentons un algorithme hybride de détection qui combine un filtrage basé sur l’entropie de Shannon avec une classification supervisée contextuelle, offrant des bornes formelles pour les probabilités de faux positifs et de faux négatifs. Nous introduisons également un protocole de rotation automatique avec des garanties sous un modèle de pannes partielles de type crash-stop, inspiré de l’ordonnancement temporel distribué. L’implémentation, réalisée en Go et Rust et intégrée à Kubernetes, HashiCorp Vault et à des mécanismes d’observabilité via eBPF, a été évaluée dans un environnement à grande échelle comprenant 1 200 microservices et 85 000 secrets actifs. Les résultats indiquent une précision moyenne de 96,1 %, un rappel de 94,3 % et une réduction de 78,4 % du temps moyen de détection. Nous discutons des limitations, des implications pour les environnements dotés d’IA générative et des risques émergents associés aux modèles de langage et à l’automatisation du code. Nous concluons que la combinaison de la formalisation mathématique, de la détection contextuelle et de la rotation atomique constitue une approche robuste et vérifiable pour l’atténuation systématique des fuites de secrets dans les écosystèmes cloud-native.

2007-03-12Read paper →Secrets

Une Architecture Formelle et Évolutive pour la Gestion, la Détection et la Rotation Automatique des Secrets dans les Infrastructures Cloud-Native

TITLE: Une Architecture Formelle et Évolutive pour la Gestion, la Détection et la Rotation Automatique des Secrets dans les Infrastructures Cloud-Native ABSTRACT: La gestion des secrets constitue l’un des piliers de la sécurité dans les infrastructures cloud-native, où les microservices éphémères, les pipelines DevSecOps et l’orchestration dynamique augmentent substantiellement la surface d’attaque. Les identifiants compromis demeurent parmi les vecteurs les plus exploités dans les incidents réels, notamment par l’utilisation de comptes valides et l’extraction de secrets dans les dépôts de code. Dans ce travail, nous proposons une architecture formelle et évolutive pour la gestion, la détection et la rotation automatique des secrets, fondée sur une modélisation mathématique rigoureuse et alignée sur les directives contemporaines de Zero Trust, de sécurité des chaînes d’approvisionnement logiciel et de protection des environnements cloud-native jusqu’en 2025. Nous formalisons le cycle de vie des secrets comme un système de transition d’états temporisé, en définissant des propriétés quantitatives de confidentialité, d’atomicité et de cohérence éventuelle. Nous présentons un algorithme hybride de détection qui combine un filtrage basé sur l’entropie de Shannon avec une classification supervisée contextuelle, offrant des bornes formelles pour les probabilités de faux positifs et de faux négatifs. Nous introduisons également un protocole de rotation automatique avec garanties sous un modèle de pannes partielles de type crash-stop, inspiré de l’ordonnancement temporel distribué. L’implémentation, réalisée en Go et Rust et intégrée à Kubernetes, HashiCorp Vault et à des mécanismes d’observabilité via eBPF, a été évaluée dans un environnement à grande échelle comprenant 1.200 microservices et 85.000 secrets actifs. Les résultats indiquent une précision moyenne de 96,1 %, un rappel de 94,3 % et une réduction de 78,4 % du temps moyen jusqu’à la détection. Nous discutons des limites, des implications pour les environnements utilisant l’IA générative et des risques émergents associés aux modèles de langage et à l’automatisation du code. Nous concluons que la combinaison de formalisation mathématique, de détection contextuelle et de rotation atomique constitue une approche robuste et vérifiable pour la mitigation systématique des fuites de secrets dans les écosystèmes cloud-native.

2007-03-12Read paper →