כותרת: ארכיטקטורה פורמלית וניתנת להרחבה לניהול, גילוי וסבב אוטומטי של סודות בתשתיות ענן-נייטיב

1. מבוא

ניהול סודות במערכות מחשוב מודרניות התבסס כאחד האתגרים המרכזיים של הסייבר־אבטחה העכשווית. בסביבות ענן־נייטיב, המאופיינות במיקרו־שירותים ארעיים, תזמור דינמי (למשל Kubernetes), צינורות CI/CD, תשתית כקוד ואינטגרציה מתמשכת של מודלים של בינה מלאכותית, סודות נוצרים, מופצים, משוכפלים ונצרכים באופן רציף על ידי רכיבים מרובים. דינמיקה זו מרחיבה את משטח התקיפה ומעלה את ההסתברות לחשיפה מקרית או לניצול זדוני.

דוחות אמפיריים מצביעים על כך שאישורים שנחשפו נמנים עם הווקטורים השכיחים ביותר להפרות אבטחה. דוח Data Breach Investigations Report מדגים שימוש שיטתי באישורים תקפים בשרשראות תקיפה (VERIZON, 2024). במסגרת MITRE ATT&CK, טכניקות כגון T1552 (Unsecured Credentials), T1555 (Credentials from Password Stores) ו-T1078 (Valid Accounts) מנוצלות בהרחבה לצורך התמדה ותנועה רוחבית (MITRE, 2024). הנחיות NIST מחזקות את הצורך בניהול חזק של זהות, אימות וארכיטקטורת Zero Trust (NIST, 2017; NIST, 2020), בעוד OWASP מדגישה פרקטיקות בלתי הולמות לאחסון ולרוטציה של סודות כסיכון חוזר (OWASP, 2023).

באופן פורמלי, אנו מגדירים סוד ככל ערך $s \in {0,1}^n$ שחשאיותו היא תנאי הכרחי לשימור של לפחות מאפיין אבטחה אחד של מערכת מבוזרת $S$. יהי $S$ מודל על ידי גרף מכוון $G = (V,E)$, שבו $V$ מייצג רכיבי מחשוב ו-$E$ ערוצי תקשורת מאומתים. לכל סוד $s$ יש מחזור חיים $\mathcal{L}(s) = [t_{create}, t_{revoke}]$. הבעיה המרכזית היא למזער את חלון החשיפה האפקטיבי $[t_{expose}, t_{detect}]$, תוך שמירה בו־זמנית על זמינות ועקביות תפעולית.

אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד לדגמן באופן פורמלי את מחזור החיים של סודות במערכות מבוזרות דינמיות?
RQ2: האם ניתן לזהות דליפות בדיוק גבוה באמצעות שילוב של מדדים סטטיסטיים וסיווג קונטקסטואלי?
RQ3: כיצד לתכנן פרוטוקול רוטציה אוטומטי עם ערבויות פורמליות לאטומיות ולכיוּון תחת כשלים חלקיים?

תרומותינו הן:

C1: פורמליזציה מתמטית של מחזור החיים של סודות כמערכת מעבר מצבים מתוזמנת בעלת תכונות סודיות ניתנות לאימות.
C2: אלגוריתם היברידי לזיהוי המבוסס על אנטרופיית שאנון (SHANNON, 1948) ועל סיווג מונחה, עם ניתוח סיבוכיות וגבולות שגיאה.
C3: פרוטוקול רוטציה אוטומטי עם ערבויות אטומיות במודל כשלים crash-stop, בהשראת סידור זמני מבוזר (LAMPORT, 1978).

2. יסוד תיאורטי ועבודות קשורות

יהי $S$ קבוצת הסודות הפעילים. כל $s \in S$ מיוצג על ידי הטריפלט $(v_s, \tau_s, \pi_s)$, שבו $v_s$ הוא הערך הבינרי, $\tau_s$ זמן החיים המרבי ו-$\pi_s$ מדיניות הגישה המוגדרת על ידי פרדיקט על ישויות מזוהות ומאומתות.

אנטרופיית שאנון של מועמד $x$ מוגדרת על ידי:

$$ H(x) = - \sum_{i=1}^{k} p_i \log_2 p_i $$

כאשר $p_i$ מייצג את ההסתברות האמפירית של הסימן $i$ ב-$x$. עבור מחרוזות המתפלגות באופן אחיד מעל האלפבית $\Sigma$, מתקיים $H(x) \le \log_2 |\Sigma|$.

כלי זיהוי תחביריים, כגון GitLeaks ו-detect-secrets, מבוססים בעיקר על ביטויים רגולריים ועל כללים היוריסטיים, ומציגים מגבלות סמנטיות בסביבות בעלות שונות גבוהה בפורמטים. מערכות מרכזיות כגון HashiCorp Vault, AWS Secrets Manager ו-Google Secret Manager מספקות אחסון מאובטח, גרסאות ורוטציה תכנותית, אך אינן מונעות דליפות בקוד מקור או בארטיפקטים של build (HASHICORP, 2024; AWS, 2024; GOOGLE CLOUD, 2024).

מודלים של בקרת זרימת מידע (SABELFELD; MYERS, 2003) מספקים בסיס פורמלי לניתוח דליפות, אך לעיתים נדירות משולבים בצינורות DevSecOps. במקביל, ארכיטקטורות CNAPP (Cloud-Native Application Protection Platforms) ומנגנוני תצפיתיות מבוססי eBPF הרחיבו עד 2025 את הנראות בזמן ריצה, ומאפשרים קורלציה קונטקסטואלית בין שימוש באישורים לבין התנהגות תהליכים (GARTNER, 2023).

אנו מזהים פער בספרות באשר לאינטגרציה פורמלית בין זיהוי סטטיסטי, סיווג קונטקסטואלי, מדדים זמניים ופרוטוקולי רוטציה מבוזרים עם ערבויות ניתנות לאימות.

3. מודל האיום ופורמליזציה של הבעיה

אנו מניחים יריב הסתברותי פולינומי $\mathcal{A}$ עם היכולות הבאות:

(i) קריאה של מאגרים שנפגעו;
(ii) גישה ללוגים ולארטיפקטים של build;
(iii) פגיעה בקונטיינר מבודד;
(iv) חילוץ סודות באמצעות prompt injection במערכות המשולבות עם מודלי שפה.

איננו מניחים שבירה של פרימיטיבים קריפטוגרפיים חזקים, כגון AES-256 או סכמות פוסט-קוונטיות שנקבעו על ידי NIST ב-2024, בהתאם לאבטחה חישובית סטנדרטית (BONEH; SHOUP, 2020; NIST, 2024).

אנו מגדירים אירוע חשיפה $E_s(t)$ כאשר $s$ נעשה נגיש ל-$\mathcal{A}$ בזמן $t$. הזמן הממוצע עד גילוי (MTTE) הוא:

$$ MTTE = \frac{1}{|S|} \sum_{s \in S} (t_{detect}(s) - t_{expose}(s)) $$

מטרתנו היא למזער את $MTTE$ בכפוף לאילוץ זמינות $\alpha \ge 0.999$.

אנו מגדירים סודיות מוגבלת-$\epsilon$ כך:

$$ \Pr[\mathcal{A} \text{ obtains } s] \le \epsilon $$

אטומיות של רוטציה: עבור כל בקשה תקפה $r$ שהחלה לפני $t_{revoke}$, קיים סוד תקף $s^$ כך ש-$r$ מאומתת בהצלחה.

עקביות eventual:

$$ \lim_{t \to \infty} \forall v \in V: state_v(s) = s’ $$

4. המתודולוגיה המוצעת

הארכיטקטורה מורכבת מ: (i) אוסף ארטיפקטים (מאגרים, תמונות, לוגים, prompts), (ii) מנוע זיהוי, (iii) מתזמר רוטציה, (iv) מאגר מאובטח המיושר ל-NIST SP 800-207.

אלגוריתם 1: זיהוי היברידי

קלט: ארטיפקט $A$ עם $n$ טוקנים
פלט: קבוצת $C$ של מועמדים

לכל טוקן $x \in A$:

1. לחשב $H(x)$
2. אם $H(x) > \theta$, לחלץ וקטור $f(x) \in \mathbb{R}^d$
3. לסווג באמצעות מודל $M: \mathbb{R}^d \to {0,1}$

סיבוכיות: חישוב אנטרופיה $O(|x|)$ לכל טוקן; סה״כ $O(n)$. סיווג ליניארי מוסיף $O(d)$.

אנו מגבילים הסתברויות שגיאה על ידי:

$$ \Pr[\text{FP}] \le \delta_1, \quad \Pr[\text{FN}] \le \delta_2 $$

אלגוריתם 2: רוטציה אטומית

1. Generate s' via CSPRNG compatible with NIST SP 800-90A;
2. Version s' in the central repository;
3. Propagate s' to k replicas with cryptographic confirmation;
4. After quorum ≥ k - f, mark s as revoked;
5. Register immutable event for auditing.

תחת כשלים מסוג crash-stop עם עד $f < k/2$, אנו מבטיחים התקדמות והיעדר אי־עקביות קבועה.

5. מימוש

מימשנו את המערכת ב-Go וב-Rust, תוך שילוב Kubernetes v1.29, Vault v1.15, PostgreSQL 16 ואיסוף טלמטריה באמצעות eBPF למעקב אחר גישה לקבצים ומשתני סביבה רגישים.

דוגמה למדיניות רוטציה ב-Vault:

path "database/creds/app-role" {
  capabilities = ["read"]
  min_wrapping_ttl = "5m"
}

הצינור האסינכרוני משתמש ב-Apache Kafka 3.x, ומעבד עד 12,000 commits/minute. המסווג אומן על 2.3 מיליון דוגמאות מתויגות, והשיג AUC = 0.982.

6. הערכה ניסויית

סביבה: 64 צמתים (32 ליבות, 128 GB RAM), 1,200 מיקרו־שירותים, 85,000 סודות.

מדד	סורק תחבירי	הארכיטקטורה המוצעת
דיוק	73.4%	96.1%
Recall	70.2%	94.3%
חיובי שגוי	12.8%	2.7%
MTTE	72h	15.5h
Throughput	6,200 ev/min	18,500 ev/min

אנו צופים הפחתה של 78.4% ב-MTTE והשהיה ממוצעת נוספת של 18–21 ms במהלך רוטציה.

7. דיון

האינטגרציה בין סינון סטטיסטי, סיווג קונטקסטואלי ותצפיתיות בזמן אמת מפחיתה באופן משמעותי תוצאות חיוביות שגויות, תוך שמירה על כיסוי גבוה. הפורמליזציה הזמנית מאפשרת הסקה כמותית לגבי סיכון שיורי והתאמה למדדי ממשל בינה מלאכותית ולציות רגולטורי.

המגבלות כוללות תלות בנתונים מתויגים, אפשרויות התחמקות באמצעות סודות בעלי אנטרופיה נמוכה ואתגרים בסביבות היברידיות רב-ענניות. התוקף החיצוני תלוי במגוון שפות, מסגרות עבודה ועומסי עבודה.

8. מסקנה

הצגנו ארכיטקטורה פורמלית וסקֵילבילית לניהול ולרוטציה אוטומטית של סודות בסביבות ענן־נייטיב, עם ערבויות מפורשות לסודיות, לאטומיות ולעקביות eventual. השילוב של מודל מתמטי, זיהוי היברידי ופרוטוקול מבוזר מספק בסיס ניתן לאימות להפחתה מדידה של הסיכון.

עבודות עתידיות כוללות אימות פורמלי ב-TLA+, אינטגרציה עם confidential computing ושימוש במודלים self-supervised לזיהוי אדפטיבי.

References

AWS. AWS Secrets Manager Documentation. 2024. Disponível em: https://docs.aws.amazon.com/secretsmanager/. Acesso em: 13 abr. 2025.

BONEH, Dan; SHOUP, Victor. A Graduate Course in Applied Cryptography. 2020. Disponível em: https://crypto.stanford.edu/~dabo/cryptobook/. Acesso em: 13 abr. 2025.

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms. 2023. Disponível em: https://www.gartner.com/. Acesso em: 13 abr. 2025.

GOOGLE CLOUD. Secret Manager Documentation. 2024. Disponível em: https://cloud.google.com/secret-manager/docs. Acesso em: 13 abr. 2025.

HASHICORP. Vault Documentation. 2024. Disponível em: https://developer.hashicorp.com/vault/docs. Acesso em: 13 abr. 2025.

KUBERNETES. Secrets. 2024. Disponível em: https://kubernetes.io/docs/concepts/configuration/secret/. Acesso em: 13 abr. 2025.

LAMPORT, Leslie. Time, clocks, and the ordering of events in a distributed system. Communications of the ACM, v. 21, n. 7, p. 558–565, 1978. Disponível em: https://dl.acm.org/doi/10.1145/359545.359563. Acesso em: 13 abr. 2025.

MITRE. ATT&CK Framework. 2024. Disponível em: https://attack.mitre.org/. Acesso em: 13 abr. 2025.

NIST. Digital Identity Guidelines (SP 800-63-3). 2017. Disponível em: https://pages.nist.gov/800-63-3/. Acesso em: 13 abr. 2025.

NIST. Zero Trust Architecture (SP 800-207). 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 13 abr. 2025.

NIST. Post-Quantum Cryptography Standards. 2024. Disponível em: https://csrc.nist.gov/projects/post-quantum-cryptography. Acesso em: 13 abr. 2025.

OWASP. Secrets Management Cheat Sheet. 2023. Disponível em: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html. Acesso em: 13 abr. 2025.

SABELFELD, Andrei; MYERS, Andrew C. Language-based information-flow security. IEEE Journal on Selected Areas in Communications, v. 21, n. 1, p. 5–19, 2003. Disponível em: https://ieeexplore.ieee.org/document/1183539. Acesso em: 13 abr. 2025.

SCHNEIER, Bruce. Applied Cryptography. 2. ed. New York: Wiley, 1996.

SHAMIR, Adi. How to share a secret. Communications of the ACM, v. 22, n. 11, p. 612–613, 1979. Disponível em: https://dl.acm.org/doi/10.1145/359168.359176. Acesso em: 13 abr. 2025.

SHANNON, Claude E. A mathematical theory of communication. Bell System Technical Journal, v. 27, p. 379–423, 1948. Disponível em: https://ieeexplore.ieee.org/document/6773024. Acesso em: 13 abr. 2025.

VERIZON. 2024 Data Breach Investigations Report. 2024. Disponível em: https://www.verizon.com/business/resources/reports/dbir/. Acesso em: 13 abr. 2025.