כותרת: ארכיטקטורה פורמלית לממשל, גילוי וסבב אוטומטי של סודות בתשתיות נייטיב-קלאוד

1. מבוא

סודות חישוביים — המוגדרים כמידע חסוי שחשיפתו פוגעת בתכונות של אותנטיות, סודיות או שלמות — מהווים רכיבים מבניים של האבטחה הדיגיטלית בת־הזמן (SALTZER; SCHROEDER, 1975). בארכיטקטורות מבוזרות ובסביבות ילידיות לענן, במיוחד תחת פרקטיקות DevSecOps, סודות מקבלים את הצורה של מפתחות פרטיים, אסימוני OAuth 2.0, פרטי גישה למסדי נתונים, מפתחות חתימה של ארטיפקטים, תעודות X.509, פרטי גישה זמניים מסוג STS ומפתחות API לשירותי בינה מלאכותית (OWASP, 2023).

דוחות עדכניים מצביעים על זיהוי של מיליוני סודות חשופים מדי שנה במאגרי קוד ציבוריים (GITGUARDIAN, 2024). אירועים מתועדים היטב, כגון מקרה Codecov בשנת 2021, הדגימו כיצד חילוץ של אסימוני אינטגרציה רציפה יכול לאפשר תנועה רוחבית ופשרה של ארגונים מרובים (CODECOV, 2021). נוסף על כך, פגיעויות של הרצת קוד מרחוק, כגון CVE-2021-44228 (Log4Shell), הראו כי ניתן לנצל פרטי גישה המאוחסנים במשתני סביבה לאחר פגיעה ראשונית (NVD, 2021).

במסגרת MITRE ATT&CK, ניצול סודות קשור ישירות לטכניקות T1552 (Unsecured Credentials), T1555 (Credentials from Password Stores) ו-T1078 (Valid Accounts) (MITRE, 2024). מן ההיבט הנורמטיבי, הנחיות כגון NIST SP 800-63B (זהות דיגיטלית), NIST SP 800-57 (ניהול מפתחות) ו-NIST SP 800-204D (אבטחה במיקרו-שירותים) קובעות יסודות להגנת מאמתים ומפתחות קריפטוגרפיים (NIST, 2020a; NIST, 2020b; NIST, 2023a). בשנת 2024 פרסם NIST את התקנים הפדרליים הראשונים לקריפטוגרפיה פוסט-קוונטית (FIPS 203–205), תוך חיזוק הצורך בעדכון מנגנוני ניהול מפתחות (NIST, 2024a).

ניסחנו את שאלות המחקר הבאות:

RQ1: כיצד ניתן למדל באופן פורמלי את מחזור החיים של סודות כך שיאפשר הבטחות אבטחה זמניות הניתנות לאימות?

RQ2: האם ניתן לזהות באופן אוטומטי סודות חשופים בדיוק גבוה ושיעור נמוך של חיוביים־שגויים בהיקף ארגוני, כולל ארטיפקטים שנוצרו על ידי LLMs?

RQ3: מהו ההשפעה הכמותית של רוטציה אדפטיבית אוטומטית על הפחתת חלון החשיפה הזמני?

תרומותינו הן:

C1: פורמליזציה מתמטית של בעיית הממשל על סודות כמערכת דינמית עם תכונות המובעות בלוגיקה טמפורלית ליניארית.

C2: מנגנון היברידי לזיהוי המשלב אנטרופיה, תבניות מבניות ולמידה מונחית.

C3: פרוטוקול רוטציה אדפטיבית עם הבטחות פורמליות לעקביות, אטומיות ויכולת ביקורת, תואם לסביבות Kubernetes ולפרקטיקות CNAPP.

2. תשתית תיאורטית ועבודות קשורות

2.1 הגדרה פורמלית של סוד

נניח ש-$\mathcal{S}$ הוא הקבוצה של מחרוזות בינאריות באורך משתנה. נגדיר סוד כ-$s \in \mathcal{S}$ כך ש:

1. $H(s) \geq \lambda$, כאשר $\lambda$ הוא סף מינימלי של אנטרופיה;
2. קיימת פונקציית סיכון $R(Sys, s) > 0$ כך שחשיפת $s$ מפחיתה תכונת אבטחה של $Sys$.

אנטרופיית שאנון מוגדרת כך:

$$ H(s) = - \sum_{i} p_i \log_2 p_i $$

כאשר $p_i$ מייצג את ההסתברות של הסימן $i$ (SHANNON, 1948). עבור מחרוזות המתפלגות באופן אחיד על פני האלפבית $\Sigma$, האנטרופיה לכל סימן היא $\log_2 |\Sigma|$.

כדי להפחית הטיה במדגמים קטנים, אנו משתמשים בתיקון Miller–Madow:

$$ \hat{H}{MM} = \hat{H}{ML} + \frac{|\Sigma|-1}{2N \ln 2} $$

כאשר $N$ הוא גודל המדגם ו-$\hat{H}_{ML}$ הוא אומדן הסבירות המרבית.

2.2 חלון חשיפה וסיכון

אנו מגדירים את חלון החשיפה של סוד $s$ כך:

$$ W_s = t_{revogação}(s) - t_{exposição}(s) $$

אנו ממדלים את הסיכון המצטבר כך:

$$ \mathcal{R}(s) = \int_{t_{exposição}}^{t_{revogação}} \rho(t), dt $$

כאשר $\rho(t)$ היא שיעור הניצול המיידי. תחת ההנחה ש-$\rho(t) \approx \rho_0$ קבוע, מתקבל $\mathcal{R}(s) \approx \rho_0 W_s$. לפיכך, מזעור $E[W_s]$ משמעו הפחתת הסיכון הצפוי.

2.3 מצב הידע

כלים כגון TruffleHog ו-GitLeaks משתמשים בתבניות מבניות ובספי אנטרופיה לזיהוי (TRUFFLEHOG, 2024; GITLEAKS, 2024). מחקרים אמפיריים מצביעים על שכיחות משמעותית של סודות במאגרי קוד ציבוריים (MELI et al., 2019; RAHMAN et al., 2019). דוחות עדכניים מציינים עלייה בסודות הקשורים לשירותי בינה מלאכותית גנרטיבית (GITGUARDIAN, 2024).

מנהלי סודות כגון HashiCorp Vault, AWS Secrets Manager ו-Azure Key Vault מציעים רוטציה פרוגרמטית (HASHICORP, 2024; AWS, 2024; MICROSOFT, 2024). פלטפורמות CNAPP משלבות זיהוי של תצורה לא מאובטחת וממשל על סודות (GARTNER, 2023). עם זאת, גישות אלו לעיתים רחוקות מסמלות באופן פורמלי תכונות זמניות ניתנות לאימות.

עבודתנו נבדלת בכך שהיא משלבת פורמליזציה מתמטית, אימות בלוגיקה טמפורלית והערכה כמותית.

3. מודל איומים ופורמליזציה

אנו מתייחסים ליריב הסתברותי פולינומי $\mathcal{A}$ בעל היכולות הבאות:

1. קריאת מאגרים ציבוריים;
2. חילוץ ארטיפקטים ולוגים;
3. הרצת קוד מרחוק;
4. הנדסת פרומפטים כדי לגרום ל-LLMs לחשוף סודות המוטמעים בהקשר.

אנו מניחים פרימיטיבים קריפטוגרפיים בטוחים לפי ההמלצות העדכניות, כולל AES-256 ותכניות פוסט-קוונטיות תקניות (NIST, 2024a).

אנו ממדלים את המערכת כאוטומט טמפורלי $\mathcal{M} = (Q, \Sigma, \delta)$, כאשר $Q$ מייצג מצבי תקפות, $\Sigma$ אירועים ו-$\delta$ את פונקציית המעבר.

תכונות פורמליות ב-LTL:

סודיות טמפורלית:

$$ \mathbf{G}(exposed(s) \rightarrow \mathbf{F}{\leq \delta{max}} revoked(s)) $$

עקביות לאחר רוטציה:

$$ \mathbf{G}(rotate(s) \rightarrow \mathbf{X}\neg use(s_{antigo})) $$

יכולת ביקורת:

$$ \mathbf{G}(event(e) \rightarrow \mathbf{F}, logged(e)) $$

4. מתודולוגיה מוצעת

4.1 זיהוי היברידי

לאלגוריתם יש סיבוכיות $O(n \cdot (m + k d))$, כאשר $n$ הוא מספר המחרוזות, $m$ עלות קדם-עיבוד, $k$ מספר העצים ו-$d$ מספר התכונות.

שיעור החיוביים־השגויים הוא:

$$ FPR = \frac{FP}{FP + TN} $$

אנו משתמשים באימות צולב שכבות 10-fold ומעריכים דיוק, recall ו-F1.

4.2 רוטציה אדפטיבית

אנו ממדלים את הרוטציה כטרנזאקציה מבוזרת המבוססת על two-phase commit (2PC). סיבוכיות המסרים היא $O(p)$.

דוגמה מפושטת:

vault lease revoke <lease_id>
vault secrets enable -path=app kv-v2
kubectl rollout restart deployment/app

המדיניות האדפטיבית מגדירה את המרווח $\tau(s)$ פרופורציונלי לסיכון המשוער:

$$ \tau(s) = \min(\tau_{max}, \alpha / \hat{\mathcal{R}}(s)) $$

5. מימוש

מימשנו את הארכיטקטורה ב-Go וב-Python, משולבת עם Kubernetes v1.29 ו-Vault v1.15 (KUBERNETES, 2024; HASHICORP, 2024). אירועים משודרים דרך Apache Kafka 3.x.

Sidecars מונעים שימור של משתנים רגישים ומשתמשים בהקרנות זמניות של סודות. שילבנו מדיניות OPA (Open Policy Agent) לאכיפה הצהרתית.

סקלאביליות שנצפתה:

מדד	ערך
אירועים מעובדים	3.200/s
השהיית רוטציה ממוצעת	42 s
תקורת CPU ממוצעת	4,3%

6. הערכה ניסויית

מערך נתונים המורכב מ-12.457 מאגרי קוד ציבוריים שנאספו בין 2023–2024.

תוצאות ממוצעות:

מדד	ערך
דיוק	0,978
Recall	0,950
ציון F1	0,964

הפחתה של $E[W_s]$ מ-380 s ל-42 s (הפחתה של 89%). מבחן t של Student הצביע על $p < 0,01$.

7. דיון

האינטגרציה בין זיהוי ותגובה אוטומטית מפחיתה באופן ניכר את משטח התקיפה הזמני הקשור לטכניקות T1552 ו-T1078 (MITRE, 2024). מצאנו כי סודות הקשורים ל-APIs של בינה מלאכותית הציגו צמיחה משמעותית, מה שמחייב מדיניות ממשל ייעודית.

המגבלות כוללות התחמקות באמצעות פיצול ותלות ב-APIs חיצוניים. הכללה לסביבות serverless ו-edge מחייבת מחקר נוסף.

8. מסקנה

הצגנו ארכיטקטורה פורמלית לממשל ולרוטציה אוטומטית של סודות עם הבטחות זמניות ניתנות לאימות. הדגמנו הפחתה משמעותית בחלון החשיפה ודיוק זיהוי גבוה.

עבודות עתידיות כוללות אימות פורמלי אוטומטי באמצעות model checking ושילוב עם מנגנוני אתחול מבוססי חומרה אמינה.

References

AWS. AWS Secrets Manager Documentation. 2024. Available at: https://docs.aws.amazon.com/secretsmanager/. Accessed on: 13 abr. 2025.

CODECOV. Codecov Security Incident Report. 2021. Available at: https://about.codecov.io/security-update/. Accessed on: 13 abr. 2025.

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms. 2023. Available at: https://www.gartner.com/. Accessed on: 13 abr. 2025.

GITLEAKS. GitLeaks Documentation. 2024. Available at: https://github.com/gitleaks/gitleaks. Accessed on: 13 abr. 2025.

GITGUARDIAN. State of Secrets Sprawl Report 2024. 2024. Available at: https://www.gitguardian.com/state-of-secrets-sprawl. Accessed on: 13 abr. 2025.

HASHICORP. Vault Documentation. 2024. Available at: https://developer.hashicorp.com/vault/docs. Accessed on: 13 abr. 2025.

KUBERNETES. Kubernetes Documentation v1.29. 2024. Available at: https://kubernetes.io/docs/. Accessed on: 13 abr. 2025.

MELI, M. et al. How Bad Can It Git? Characterizing Secret Leakage in Public GitHub Repositories. In: IEEE Symposium on Security and Privacy, 2019. Available at: https://ieeexplore.ieee.org/document/8835224. Accessed on: 13 abr. 2025.

MICROSOFT. Azure Key Vault Documentation. 2024. Available at: https://learn.microsoft.com/azure/key-vault/. Accessed on: 13 abr. 2025.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 13 abr. 2025.

NIST. Digital Identity Guidelines – SP 800-63B. 2020a. Available at: https://pages.nist.gov/800-63-3/sp800-63b.html. Accessed on: 13 abr. 2025.

NIST. Recommendation for Key Management – SP 800-57 Part 1 Rev.5. 2020b. Available at: https://csrc.nist.gov/publications/detail/sp/800-57-part-1/rev-5/final. Accessed on: 13 abr. 2025.

NIST. Security Strategies for Microservices-based Applications – SP 800-204D. 2023a. Available at: https://csrc.nist.gov/publications/detail/sp/800-204d/final. Accessed on: 13 abr. 2025.

NIST. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. 2024a. Available at: https://csrc.nist.gov/publications/detail/fips/203/final. Accessed on: 13 abr. 2025.

NVD. CVE-2021-44228 Detail. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 13 abr. 2025.

OWASP. Secrets Management Cheat Sheet. 2023. Available at: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html. Accessed on: 13 abr. 2025.

RAHMAN, M. et al. Secrets in Source Code: Reducing False Positives using Machine Learning. In: ICSE, 2019. Available at: https://ieeexplore.ieee.org/document/8811951. Accessed on: 13 abr. 2025.

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. Available at: https://ieeexplore.ieee.org/document/1451869. Accessed on: 13 abr. 2025.

SHANNON, C. A Mathematical Theory of Communication. Bell System Technical Journal, 1948. Available at: https://ieeexplore.ieee.org/document/6773024. Accessed on: 13 abr. 2025.

TRUFFLEHOG. TruffleHog Documentation. 2024. Available at: https://github.com/trufflesecurity/trufflehog. Accessed on: 13 abr. 2025.