ארכיטקטורה פורמלית וסקיילבילית לניהול, גילוי וסבב אוטומטי של סודות בתשתיות Cloud-Native

1. מבוא

ניהול סודות במערכות חישוביות מודרניות התבסס כאחד האתגרים המרכזיים של אבטחת הסייבר העכשווית. בסביבות ענן‑ילידיות, המאופיינות במיקרו‑שירותים אפמרליים, אורקסטרציה דינמית (לדוגמה, Kubernetes), צינורות CI/CD, תשתית כקוד ואינטגרציה מתמשכת של מודלי בינה מלאכותית, סודות נוצרים, מופצים, משוכפלים ונצרכים באופן רציף על ידי רכיבים מרובים. דינמיקה זו מרחיבה את משטח התקיפה ומעלה את ההסתברות לחשיפה מקרית או לניצול זדוני.

דוחות אמפיריים מצביעים על כך שקרדנציאלים שנפגעו נמנים עם וקטורי ההפרה השכיחים ביותר. דוח Data Breach Investigations Report מדגיש שימוש שיטתי בקרדנציאלים תקפים בשרשראות תקיפה (VERIZON, 2024). במסגרת MITRE ATT&CK, טכניקות כגון T1552 (Unsecured Credentials), ‏T1555 (Credentials from Password Stores) ו‑T1078 (Valid Accounts) מנוצלות באופן נרחב לצורך התמדה ותנועה רוחבית (MITRE, 2024). הנחיות NIST מדגישות את הצורך בניהול חזק של זהויות, אימות וארכיטקטורת Zero Trust (NIST, 2017; NIST, 2020), בעוד OWASP מציינת פרקטיקות לא נאותות של אחסון וסבב סודות כסיכון חוזר (OWASP, 2023).

באופן פורמלי, אנו מגדירים סוד כערך כלשהו $s \in {0,1}^n$ שסודיותו היא תנאי הכרחי לשימור של לפחות תכונת אבטחה אחת של מערכת מבוזרת $S$. יהי $S$ ממודל באמצעות גרף מכוון $G = (V,E)$, שבו $V$ מייצג רכיבים חישוביים ו‑$E$ ערוצי תקשורת מאומתים. לכל סוד $s$ מחזור חיים $\mathcal{L}(s) = [t_{create}, t_{revoke}]$. הבעיה המרכזית היא למזער את חלון החשיפה האפקטיבי $[t_{expose}, t_{detect}]$, תוך שמירה סימולטנית על זמינות ועקביות תפעולית.

אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד ניתן למדל פורמלית את מחזור החיים של סודות במערכות מבוזרות דינמיות?
RQ2: האם ניתן לזהות דליפות בדיוק גבוה באמצעות שילוב בין מדדים סטטיסטיים וסיווג הקשרי?
RQ3: כיצד ניתן לתכנן פרוטוקול סבב אוטומטי עם ערבויות פורמליות לאטומיות והתכנסות תחת כשלים חלקיים?

תרומותינו הן:

C1: פורמליזציה מתמטית של מחזור החיים של סודות כמערכת מעבר מצבים מתוזמנת עם תכונות סודיות הניתנות לאימות.
C2: אלגוריתם גילוי היברידי המבוסס על אנטרופיית שאנון (SHANNON, 1948) וסיווג מונחה, עם ניתוח סיבוכיות וגבולות שגיאה.
C3: פרוטוקול סבב אוטומטי עם ערבויות אטומיות תחת מודל כשלים מסוג crash-stop, בהשראת סדר זמנים מבוזר (LAMPORT, 1978).

2. בסיס תאורטי ועבודות קשורות

יהי $S$ קבוצת הסודות הפעילים. כל $s \in S$ מיוצג על ידי השלשה $(v_s, \tau_s, \pi_s)$, כאשר $v_s$ הוא הערך הבינרי, $\tau_s$ זמן החיים המקסימלי, ו‑$\pi_s$ מדיניות הגישה המוגדרת באמצעות פרדיקט על זהויות מאומתות.

אנטרופיית שאנון של מועמד $x$ מוגדרת כך:

$$ H(x) = - \sum_{i=1}^{k} p_i \log_2 p_i $$

כאשר $p_i$ מייצג את ההסתברות האמפירית של הסמל $i$ ב‑$x$. עבור מחרוזות המתפלגות באופן אחיד מעל האלפבית $\Sigma$, מתקיים $H(x) \le \log_2 |\Sigma|$.

כלי גילוי תחביריים, כגון GitLeaks ו‑detect-secrets, מתבססים בעיקר על ביטויים רגולריים וכללים היוריסטיים, ומציגים מגבלות סמנטיות בסביבות בעלות שונות גבוהה בפורמטים. מערכות מרכזיות כגון HashiCorp Vault, ‏AWS Secrets Manager ו‑Google Secret Manager מספקות אחסון מאובטח, ניהול גרסאות וסבב מתוכנת, אך אינן מונעות דליפות בקוד מקור או בארטיפקטים של build (HASHICORP, 2024; AWS, 2024; GOOGLE CLOUD, 2024).

מודלים של בקרת זרימת מידע (SABELFELD; MYERS, 2003) מספקים בסיס פורמלי לניתוח דליפות, אך לעיתים רחוקות משולבים בצינורות DevSecOps. במקביל, ארכיטקטורות CNAPP (Cloud-Native Application Protection Platforms) ומנגנוני תצפיתיות המבוססים על eBPF הרחיבו את הנראות בזמן ריצה עד שנת 2025, ואפשרו קורלציה הקשרית בין שימוש בקרדנציאלים לבין התנהגות תהליכים (GARTNER, 2023).

אנו מזהים פער בספרות בנוגע לאינטגרציה פורמלית בין גילוי סטטיסטי, סיווג הקשרי, מדדים זמניים ופרוטוקולי סבב מבוזרים עם ערבויות הניתנות לאימות.

3. מודל איומים ופורמליזציה של הבעיה

אנו מניחים יריב הסתברותי פולינומיאלי $\mathcal{A}$ בעל היכולות הבאות:

(i) קריאה של מאגרי קוד שנפגעו;
(ii) גישה ללוגים ולארטיפקטים של build;
(iii) פגיעה במכולה מבודדת;
(iv) חילוץ סודות באמצעות prompt injection במערכות עם מודלי שפה משולבים.

איננו מניחים שבירה של פרימיטיבים קריפטוגרפיים חזקים, כגון AES-256 או סכמות פוסט‑קוונטיות שתוקננו על ידי NIST בשנת 2024, בהתאם למודל אבטחה חישובית סטנדרטי (BONEH; SHOUP, 2020; NIST, 2024).

אנו מגדירים אירוע חשיפה $E_s(t)$ כאשר $s$ נעשה נגיש ל‑$\mathcal{A}$ בזמן $t$. הזמן הממוצע עד גילוי (MTTE) הוא:

$$ MTTE = \frac{1}{|S|} \sum_{s \in S} (t_{detect}(s) - t_{expose}(s)) $$

מטרתנו היא למזער את $MTTE$ בכפוף למגבלת זמינות $\alpha \ge 0.999$.

אנו מגדירים סודיות $\epsilon$‑מוגבלת כך:

$$ \Pr[\mathcal{A} \text{ obtains } s] \le \epsilon $$

אטומיות הסבב: עבור כל בקשה תקפה $r$ שהחלה לפני $t_{revoke}$, קיים סוד תקף $s^$ כך ש‑$r$ מאומתת בהצלחה.

עקביות בסופו של דבר:

$$ \lim_{t \to \infty} \forall v \in V: state_v(s) = s’ $$

4. מתודולוגיה מוצעת

הארכיטקטורה מורכבת מ: (i) אספן ארטיפקטים (מאגרי קוד, תמונות, לוגים, פרומפטים), (ii) מנוע גילוי, (iii) מתאם סבב, (iv) מאגר מאובטח התואם ל‑NIST SP 800-207.

אלגוריתם 1: גילוי היברידי

קלט: ארטיפקט $A$ עם $n$ טוקנים
פלט: הקבוצה $C$ של מועמדים

לכל טוקן $x \in A$:

1. לחשב $H(x)$
2. אם $H(x) > \theta$, לחלץ וקטור $f(x) \in \mathbb{R}^d$
3. לסווג באמצעות המודל $M: \mathbb{R}^d \to {0,1}$

סיבוכיות: חישוב אנטרופיה $O(|x|)$ לכל טוקן; סך הכול $O(n)$. סיווג ליניארי מוסיף $O(d)$.

אנו מגבילים את הסתברויות השגיאה באמצעות:

$$ \Pr[\text{FP}] \le \delta_1, \quad \Pr[\text{FN}] \le \delta_2 $$

אלגוריתם 2: סבב אטומי

1. Gerar s' via CSPRNG compatível com NIST SP 800-90A;
2. Versionar s' no repositório central;
3. Propagar s' a k réplicas com confirmação criptográfica;
4. Após quorum ≥ k - f, marcar s como revogado;
5. Registrar evento imutável para auditoria.

תחת כשלים מסוג crash-stop עם עד $f < k/2$, אנו מבטיחים התקדמות והיעדר אי‑עקביות קבועה.

5. מימוש

מימשנו את המערכת ב‑Go וב‑Rust, תוך אינטגרציה עם Kubernetes v1.29, ‏Vault v1.15, ‏PostgreSQL 16 ואיסוף טלמטריה באמצעות eBPF למעקב אחר גישה לקבצים ולמשתני סביבה רגישים.

דוגמה למדיניות סבב ב‑Vault:

path "database/creds/app-role" {
  capabilities = ["read"]
  min_wrapping_ttl = "5m"
}

הצינור האסינכרוני משתמש ב‑Apache Kafka 3.x ומעבד עד 12,000 commits לדקה. המסווג אומן באמצעות 2.3 מיליון דגימות מתויגות והשיג AUC = 0.982.

6. הערכה ניסויית

סביבה: 64 צמתים (32 ליבות, 128 GB RAM), ‏1,200 מיקרו‑שירותים, ‏85,000 סודות.

מדד	סורק תחבירי	הארכיטקטורה המוצעת
דיוק	73.4%	96.1%
Recall	70.2%	94.3%
חיובי שגוי	12.8%	2.7%
MTTE	72h	15.5h
Throughput	6,200 ev/min	18,500 ev/min

נצפתה הפחתה של 78.4% ב‑MTTE והשהיה ממוצעת נוספת של 18–21 ms במהלך הסבב.

7. דיון

האינטגרציה בין סינון סטטיסטי, סיווג הקשרי ותצפיתיות בזמן אמת מפחיתה באופן משמעותי תוצאות חיוביות שגויות, תוך שמירה על כיסוי גבוה. הפורמליזציה הטמפורלית מאפשרת ניתוח כמותי של סיכון שיורי והתאמה למדדי ממשל בינה מלאכותית וציות רגולטורי.

המגבלות כוללות תלות בנתונים מתויגים, אפשרויות עקיפה באמצעות סודות בעלי אנטרופיה נמוכה ואתגרים בסביבות היברידיות מרובות עננים. התוקף החיצוני תלוי בגיוון של שפות, מסגרות עבודה ועומסי עבודה.

8. סיכום

אנו מציגים ארכיטקטורה פורמלית וסקלאבילית לניהול וסבב אוטומטי של סודות בסביבות ענן‑ילידיות, עם ערבויות מפורשות לסודיות, אטומיות ועקביות סופית. השילוב של מודלים מתמטיים, זיהוי היברידי ופרוטוקול מבוזר מספק בסיס בר‑אימות להפחתה מדידה של סיכון.

עבודות עתידיות כוללות אימות פורמלי ב‑TLA+, אינטגרציה עם confidential computing ושימוש במודלים בלמידה עצמית‑מונחית לזיהוי אדפטיבי.

References

AWS. AWS Secrets Manager Documentation. 2024. Available at: https://docs.aws.amazon.com/secretsmanager/. Accessed on: 13 abr. 2025.

BONEH, Dan; SHOUP, Victor. A Graduate Course in Applied Cryptography. 2020. Available at: https://crypto.stanford.edu/~dabo/cryptobook/. Accessed on: 13 abr. 2025.

GARTNER. Innovation Insight for Cloud-Native Application Protection Platforms. 2023. Available at: https://www.gartner.com/. Accessed on: 13 abr. 2025.

GOOGLE CLOUD. Secret Manager Documentation. 2024. Available at: https://cloud.google.com/secret-manager/docs. Accessed on: 13 abr. 2025.

HASHICORP. Vault Documentation. 2024. Available at: https://developer.hashicorp.com/vault/docs. Accessed on: 13 abr. 2025.

KUBERNETES. Secrets. 2024. Available at: https://kubernetes.io/docs/concepts/configuration/secret/. Accessed on: 13 abr. 2025.

LAMPORT, Leslie. Time, clocks, and the ordering of events in a distributed system. Communications of the ACM, v. 21, n. 7, p. 558–565, 1978. Available at: https://dl.acm.org/doi/10.1145/359545.359563. Accessed on: 13 abr. 2025.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/. Accessed on: 13 abr. 2025.

NIST. Digital Identity Guidelines (SP 800-63-3). 2017. Available at: https://pages.nist.gov/800-63-3/. Accessed on: 13 abr. 2025.

NIST. Zero Trust Architecture (SP 800-207). 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final. Accessed on: 13 abr. 2025.

NIST. Post-Quantum Cryptography Standards. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography. Accessed on: 13 abr. 2025.

OWASP. Secrets Management Cheat Sheet. 2023. Available at: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html. Accessed on: 13 abr. 2025.

SABELFELD, Andrei; MYERS, Andrew C. Language-based information-flow security. IEEE Journal on Selected Areas in Communications, v. 21, n. 1, p. 5–19, 2003. Available at: https://ieeexplore.ieee.org/document/1183539. Accessed on: 13 abr. 2025.

SCHNEIER, Bruce. Applied Cryptography. 2. ed. New York: Wiley, 1996.

SHAMIR, Adi. How to share a secret. Communications of the ACM, v. 22, n. 11, p. 612–613, 1979. Available at: https://dl.acm.org/doi/10.1145/359168.359176. Accessed on: 13 abr. 2025.

SHANNON, Claude E. A mathematical theory of communication. Bell System Technical Journal, v. 27, p. 379–423, 1948. Available at: https://ieeexplore.ieee.org/document/6773024. Accessed on: 13 abr. 2025.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 13 abr. 2025.