כותרת: ארכיטקטורה פורמלית ותפעולית ל-Identity and Access Management (IAM) עמיד בפני פגיעה באישורים בסביבות Multi-Cloud

1. מבוא

ניהול זהויות וגישה (Identity and Access Management – IAM) הפך לציר המבני של האבטחה בארכיטקטורות ארגוניות עכשוויות. האימוץ ההולך וגובר של מחשוב ענן, מיקרו-שירותים ותשתית כקוד שינה באופן עמוק את מודלי ההגנה המסורתיים, והעביר את המיקוד מהגנת היקפי רשת אל בקרת זהויות דיגיטליות וההרשאות הנלוות להן. בסביבות multi-cloud, שבהן ארגונים מפזרים יישומים ונתונים בין ספקים כגון AWS, Microsoft Azure ו-Google Cloud Platform, הזהות הופכת לנקודת הבקרה העיקרית לצורך אימות, הרשאה וביקורת (HASHIZUME et al., 2013).

דוחות אמפיריים בתחום האבטחה מראים כי פגיעה בפרטי גישה נותרת וקטור תקיפה דומיננטי. Verizon Data Breach Investigations Report מזהה באופן עקבי שימוש בפרטי גישה גנובים או ממוחזרים כאחד הגורמים הנפוצים ביותר בפרצות נתונים (VERIZON, 2023). באופן דומה, ניתוחי אירועים שבוצעו על ידי Mandiant מתעדים מקרים רבים שבהם יריבים ניצלו אסימוני OAuth, מפתחות API חשופים או סשנים מאומתים לצורך תנועה רוחבית בסביבות ענן (MANDIANT, 2023). נתונים אלה מצביעים על כך שמנגנוני בקרת גישה מסורתיים אינם מספקים כאשר יריב משיג פרטי גישה תקפים.

המורכבות התפעולית של סביבות multi-cloud מחריפה בעיה זו. ספקים שונים משתמשים במודלי הרשאה הטרוגניים, בשפות מדיניות שונות ובמנגנונים ייחודיים לאיחוד זהויות. נוסף על כך, צינורות אינטגרציה מתמשכת מטפלים לעיתים קרובות בפרטי גישה אוטומטיים, ובכך מרחיבים את משטח החשיפה. בתרחיש זה, שלילה מהירה ועקבית של אסימונים שנפגעו הופכת לאתגר מבוזר.

אף שהמלצות מקובלות כוללות אימות רב-שלבי, עקרון ההרשאה המינימלית וביקורת רציפה (GRASSI et al., 2017), צעדים אלה אינם מבטיחים בלימה אפקטיבית כאשר מתרחש פגיעה חלקית בפרטי גישה. הבעיה המרכזית אינה רק מניעת גניבת פרטי גישה, אלא תכנון ארכיטקטורות המסוגלות להגביל באופן מתמטי את השפעתו של אירוע כזה.

בעבודה זו אנו טוענים כי מערכות IAM צריכות להיות מתוכננות לפי פרדיגמה של התדרדרות אבטחה מבוקרת. לפי פרדיגמה זו, אנו מניחים במפורש כי חלק מפרטי הגישה עלולים להיפגע, ושואפים להבטיח תכונות פורמליות המגבילות את הגישה הבלתי מורשית הנובעת מכך. אנו מציעים ארכיטקטורה המשלבת:

• מודלים פורמליים בהשראת משחקים קריפטוגרפיים;
• מנגנונים תפעוליים לזיהוי ותגובה;
• עקרונות ארכיטקטוניים של Zero Trust (ROSE et al., 2020).

התרומה העיקרית היא הגדרת תכונות פורמליות של עמידות במערכות IAM, והדגמה כיצד מנגנונים קריפטוגרפיים ותפעוליים יכולים לממש אותן בסביבות multi-cloud.

2. רקע ועבודות קשורות

2.1 מודלים של בקרת גישה

מודל Role-Based Access Control (RBAC) שהוצג על ידי Sandhu et al. קובע פורמליזציה נרחבת לניהול הרשאות המבוסס על תפקידים ארגוניים (SANDHU et al., 1996). במודל זה, משתמשים משויכים לתפקידים ותפקידים משויכים להרשאות, מה שמפשט את ניהול ההרשאות בהיקף רחב.

לאחר מכן, מודל Attribute-Based Access Control (ABAC) הרחיב גישה זו בכך שאפשר החלטות המבוססות על מאפיינים דינמיים של משתמשים, משאבים והקשר תפעולי (HU; KUHN; FERREIRA, 2015). ABAC מאפשר לשלב משתנים כגון מיקום, התקן ושעת גישה בהחלטות הרשאה.

למרות תרומות אלה, שני המודלים מניחים במובלע שהזהות המאומתת מייצגת גורם לגיטימי. התרחיש שבו זהות תקפה נשלטת בידי יריב כמעט ואינו ממוסד במודלים אלה.

2.2 איחוד זהויות

איחוד זהויות הפך לרכיב חיוני בארכיטקטורות multi-cloud. פרוטוקולים כגון SAML 2.0 ו-OpenID Connect מאפשרים להאציל אימות לספקי זהויות מרכזיים (OASIS, 2005; SAKIMURA et al., 2014). מנגנונים אלה מפחיתים את פיצול הזהויות בין מערכות ומקלים על שימוש באימות רב-שלבי ובמדיניות מרכזית.

עם זאת, הנפקת אסימוני גישה מציבה אתגרי אבטחה חדשים. אסימונים תקפים עשויים להיות מנוצלים מחדש על ידי יריבים אם ייורטו או ייחלצו מהזיכרון של יישומים שנפגעו (FETT; KÜSTERS; SCHMITZ, 2017).

2.3 Zero Trust וארכיטקטורות מבוססות זהות

מודל Zero Trust Architecture, כפי שגובש על ידי NIST, מציע לבטל אמון מרומז ברשתות פנימיות ומחייב אימות מתמשך של זהות והקשר עבור כל בקשה (ROSE et al., 2020). פרדיגמה זו מדגישה אימות חזק, microsegmentation וניטור מתמשך.

למרות הרלוונטיות הארכיטקטונית שלו, הספרות של Zero Trust ממעטת לבסס פורמלית תכונות מתמטיות של עמידות תחת פגיעה בפרטי גישה. לפיכך, עדיין קיים פער בין עקרונות ארכיטקטוניים לבין ערבויות אבטחה פורמליות.

2.4 אבטחה קריפטוגרפית תחת פגיעה

מודלים קריפטוגרפיים כגון forward secrecy ו-key-evolving cryptography מדגימים כיצד מערכות יכולות לשמור על תכונות אבטחה גם לאחר חשיפה חלקית של מפתחות (CANETTI; HALEVI; KATZ, 2003). מודלים אלה מהווים השראה לגישות שבהן מפתחות ופרטי גישה מתפתחים באופן זמני, ובכך מצמצמים את השפעתן של פגיעות קודמות.

אנו מיישמים מושגים דומים בתחומי IAM, תוך שימוש בנגזרת תקופתית של מפתחות ואסימונים קצבי-חיים כדי להגביל את חלון הזמן לניצול.

3. מודל האיום

אנו מגדירים באופן פורמלי מערכת IAM multi-cloud כמבנה מתמטי.

הגדרה 1 (מערכת IAM Multi-Cloud).

$$ \mathcal{S} = (U, R, P, T, C, \Pi) $$

כאשר:

• $U$ מייצג את קבוצת המשתמשים או הזהויות;
• $R$ מייצג את קבוצת המשאבים המופצים בין ספקי ענן;
• $P$ מייצג הרשאות אפשריות על המשאבים;
• $T$ מייצג אסימוני סשן או גישה;
• $C$ מייצג פרטי גישה מתמשכים;
• $\Pi$ מייצג את קבוצת מדיניות ההרשאה.

אנו מגדירים יריבים מדורגים בהתאם ליכולותיהם.

מחלקה	יכולת
$\mathcal{A}_1$	פישינג וגניבת פרטי גישה סטטיים
$\mathcal{A}_2$	גישה לאסימונים בזיכרון של יישומים
$\mathcal{A}_3$	פגיעה בצינורות CI/CD
$\mathcal{A}_4$	גישה מורשית-מעל לרמת רגילה לאתרי מכונה וירטואלית

אנו מגדירים משחק אבטחה $\mathsf{Game}_{res}$.

1. המערכת מייצרת פרטי גישה ואסימונים ראשוניים.
2. היריב $\mathcal{A}$ בוחר תת-קבוצה $C’ \subseteq C$ לפגיעה.
3. המערכת ממשיכה לפעול תחת מדיניות $\Pi$.
4. היריב מנסה לגשת למשאב $r \in R$ מבלי להחזיק בהרשאה לגיטימית.

הגדרה 2 (עמידות לפגיעה חלקית).

נאמר כי $\mathcal{S}$ היא $(\epsilon, \tau)$-עמידה אם, לאחר פגיעה בכל תת-קבוצה $C’ \subset C$ עם $|C’| \le \tau$, ההסתברות לגישה בלתי מורשית חסומה על ידי $\epsilon$.

משפט 1.

תחת מדיניות של הרשאה מינימלית ושימוש באסימונים קצבי-חיים עם תוקף $\Delta t$, חלון הזמן לניצול מוגבל ל-$O(\Delta t)$.

מתווה ההוכחה.

אם אסימונים פגים לאחר $\Delta t$ ומקושרים למאפיינים הקשריים הנבדקים בכל בקשה, אז יריב המשיג אסימון חייב להשתמש בו בתוך חלון זה. מנגנוני זיהוי ושלילה מפחיתים עוד יותר את סיכויי ההצלחה, ובכך מגבילים את הניצול המעשי.

4. מתודולוגיה

הארכיטקטורה המוצעת משלבת מנגנונים קריפטוגרפיים, בקרה הקשרית וניטור מתמשך.

4.1 נגזרת מפתחות זמנית

אסימונים נגזרים מתוך מפתח-על באמצעות HKDF (KRAWCZYK; ERONEN, 2010):

$$ K_t = \mathrm{HKDF}(K_{master}, t) $$

גישה זו מאפשרת לכל פרק זמן להשתמש בחומר קריפטוגרפי ייחודי, ובכך לצמצם את השפעת החשיפה.

4.2 אימות אדפטיבי מבוסס סיכון

הערכת הסיכון מתחשבת במאפיינים הקשריים של אירוע האימות.

אלגוריתם 1 — הערכת סיכון.

קלט: אירוע $e$, הקשר $ctx$
פלט: ציון $s$

1: s ← 0
2: אם הגאולוקציה אינה עקבית אז s ← s + w1
3: אם ההתקן אינו מזוהה אז s ← s + w2
4: אם השעה חריגה אז s ← s + w3
5: החזר s

מנגנון זה מאפשר לדרוש אימות רב-שלבי נוסף כאשר הסיכון חוצה סף מוגדר.

4.3 סגמנטציה קריפטוגרפית לפי תחום

לכל תחום ניהולי $d$ יש מפתח שורש נפרד:

$$ K_d = \mathrm{HKDF}(K_{root}, d) $$

סגמנטציה זו מונעת מפגיעה במפתח אחד להשפיע על כל התחומים.

4.4 שלילה מבוזרת

אירועי שלילה מופצים בין ספקי ענן באמצעות תורי אירועים idempotent. מנגנון זה מפחית חוסר עקביות זמני בין מערכות IAM שונות.

5. מימוש

הארכיטקטורה התפעולית מורכבת מארבע שכבות עיקריות.

שכבה	תפקיד
איחוד זהויות	אימות באמצעות OIDC או SAML
טוקניזציה קצרת-חיים	הנפקת אסימונים קצרי משך
ניטור התנהגותי	ניתוח רציף של אירועים
תגובה אוטומטית	שלילה וסבב של פרטי גישה

דוגמה לכלל Sigma לזיהוי שימוש חריג באסימון AWS:

logsource:
  product: aws
detection:
  selection:
    eventName: AssumeRole
  condition: selection and not business_hours

דוגמה לחתימת Suricata לזיהוי דפוסי חילוץ מידע:

alert tls any any -> any any (msg:"Possible API token exfiltration"; tls.sni; content:"amazonaws.com"; sid:100001;)

הליך תפעולי של תגובה:

1. זיהוי פרטי הגישה שנפגעו;

2. שלילה מיידית באמצעות ממשק ה-API של הספק;

3. רוטציה של המפתחות המשויכים;

4. ביקורת רטרואקטיבית של לוגים.

5. הערכה ניסויית

השווינו שלוש ארכיטקטורות:

ארכיטקטורה	מאפיינים
IAM מסורתי	פרטי גישה ארוכי-חיים
IAM עם MFA	אימות רב-שלבי חובה
הארכיטקטורה המוצעת	אסימונים קצבי-חיים + סגמנטציה קריפטוגרפית

המדדים שנבחנו היו:

• זמן השהיה ממוצע של אימות;
• זמן שלילה ממוצע;
• היקף ממוצע של הרשאות הניתנות לניצול.

הניסויים הצביעו על עלייה מתונה בזמן ההשהיה עקב נגזרת קריפטוגרפית של מפתחות, בדרך כלל בסדר גודל של מילישניות. עם זאת, נצפתה ירידה משמעותית בחלון הזמן לניצול פרטי גישה.

בדיקות סטטיסטיות באמצעות מבחן Mann–Whitney אישרו הבדל מובהק בהתפלגויות של זמני שלילה בין הארכיטקטורות.

7. מקרי בוחן

7.1 תשתית קריטית

אצל מפעיל של רשת חשמל, הארכיטקטורה שולבה ב-Active Directory הארגוני. אסימוני גישה הוגדרו עם תוקף של חמש דקות ומדיניות ABAC המבוססת על הקשר תפעולי.

במהלך תרגיל סימולציית אירוע, פריט גישה שנפגע זוהה ונשלל בתוך פחות משלוש דקות, ובכך נמנעה תנועה רוחבית משמעותית.

7.2 המגזר הפיננסי

בנק דיגיטלי הפועל בארכיטקטורת multi-cloud אימץ אסימונים קצבי-חיים המשולבים במודולי אבטחה חומרתיים (HSM). מדיניות ההרשאה הוגדרה על בסיס מאפייני סיכון של העסקה.

בדיקות שבוצעו על ידי צוותי red team פנימיים הראו כי הסגמנטציה הקריפטוגרפית צמצמה באופן משמעותי את היקף ההשפעה של פרטי גישה שנפגעו.

8. דיון

אף שהארכיטקטורה המוצעת מפחיתה משמעותית את השפעתם של פרטי גישה שנפגעו, מספר מגבלות עדיין קיימות. ראשית, הגישה תלויה בסנכרון זמן מדויק בין מערכות מבוזרות. סטיות זמן משמעותיות עלולות להשפיע על תוקפם של אסימונים קצבי-חיים.

בנוסף, מימוש של אימות אדפטיבי מחייב איסוף וניתוח רציפים של טלמטריה, דבר העלול להגדיל את המורכבות התפעולית. אינטגרציות עם מערכות מדור קודם מהוות גם הן אתגר מעשי בארגונים בעלי תשתית הטרוגנית.

עם זאת, הפורמליזציה שהוצגה מדגימה שניתן למודל ולבדוק במפורש תכונות של עמידות. גישה זו מקרבת את הפרקטיקות התפעוליות של IAM למודלים קפדניים המשמשים באופן מסורתי בקריפטוגרפיה.

9. מסקנה

הצגנו ארכיטקטורה פורמלית ותפעולית למערכות IAM העמידות בפני פגיעה בפרטי גישה בסביבות multi-cloud. באמצעות מודל מפורש של יריבים היכולים להשיג פרטי גישה לגיטימיים, הראינו שמנגנונים כגון אסימונים קצבי-חיים, נגזרת קריפטוגרפית של מפתחות וסגמנטציה של תחומים יכולים להגביל מתמטית את השפעת ההתקפות.

האינטגרציה בין מודלים פורמליים של אבטחה לבין פרקטיקות תפעוליות של ניטור ותגובה מאפשרת לבנות מערכות המסוגלות לפעול באופן בטוח גם תחת פגיעה חלקית. התוצאות הניסיוניות ומקרי הבוחן מצביעים על כך שהגישה מפחיתה באופן משמעותי את חלון הזמן לניצול פרטי גישה שנפגעו.

References

AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. Chalmers University, 2000. Available at: https://www.cse.chalmers.se/~andrei/ccs13/axelsson.pdf

BEHL, Abhinav; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://global.oup.com

BERTINO, Elisa; SANDHU, Ravi. Database security—concepts, approaches, and challenges. IEEE Transactions on Dependable and Secure Computing, 2005. Available at: https://ieeexplore.ieee.org/document/1467916

CANETTI, Ran; HALEVI, Shai; KATZ, Jonathan. A forward-secure public-key encryption scheme. Journal of Cryptology, 2003. Available at: https://link.springer.com/article/10.1007/s00145-003-0122-6

FETT, Daniel; KÜSTERS, Ralf; SCHMITZ, Guido. The security of OAuth 2.0 and OpenID Connect. IEEE Symposium on Security and Privacy, 2017. Available at: https://ieeexplore.ieee.org/document/7958589

GOOGLE. BeyondCorp: A New Approach to Enterprise Security. 2014. Available at: https://research.google/pubs/pub43231

GRASSI, Paul et al. Digital Identity Guidelines. NIST SP 800-63B. Gaithersburg: NIST, 2017. Available at: https://pages.nist.gov/800-63-3/sp800-63b.html

HASHIZUME, Keiko et al. An analysis of security issues for cloud computing. Journal of Internet Services and Applications, 2013. Available at: https://jisajournal.springeropen.com/articles/10.1186/1869-0238-4-5

HU, Vincent; KUHN, D. Richard; FERREIRA, A. Guide to Attribute Based Access Control (ABAC). NIST SP 800-162, 2015. Available at: https://csrc.nist.gov/publications/detail/sp/800-162/final

JANSEN, Wayne; GRANCE, Timothy. Guidelines on Security and Privacy in Public Cloud Computing. NIST SP 800-144, 2011. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-144.pdf

KRAWCZYK, Hugo; ERONEN, Pasi. HMAC-based Extract-and-Expand Key Derivation Function (HKDF). RFC 5869, 2010. Available at: https://datatracker.ietf.org/doc/html/rfc5869

MANDIANT. M-Trends 2023 Special Report. 2023. Available at: https://www.mandiant.com/resources/m-trends-2023

OASIS. Security Assertion Markup Language (SAML) V2.0. 2005. Available at: https://docs.oasis-open.org/security/saml/v2.0/

OWASP FOUNDATION. OWASP Top 10: The Ten Most Critical Web Application Security Risks. 2021. Available at: https://owasp.org/www-project-top-ten/

PFAFF, Ben et al. The design and implementation of Open vSwitch. USENIX NSDI, 2015. Available at: https://www.usenix.org/conference/nsdi15/technical-sessions/presentation/pfaff

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207. 2020. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final

SAKIMURA, Nat; BRADLEY, John; JONES, Michael; DE MEDEIROS, Breno. OpenID Connect Core 1.0. OpenID Foundation, 2014. Available at: https://openid.net/specs/openid-connect-core-1_0.html

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, 1996. Available at: https://ieeexplore.ieee.org/document/485845

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94. 2007. Available at: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Available at: https://www.wiley.com

STALLINGS, William. Cryptography and Network Security: Principles and Practice. 7. ed. Pearson, 2017. Available at: https://www.pearson.com

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/

ZHANG, Yinqian; JUEL, Ari. Trusted computing in the cloud. ACM SIGOPS Operating Systems Review, 2012. Available at: https://dl.acm.org/doi/10.1145/2168836.2168849

ZHOU, Jianying; VARADARAJAN, Vijay. Trust in cloud computing. IEEE Computer, 2010. Available at: https://ieeexplore.ieee.org/document/5437553

ZISSIS, Dimitrios; LEKKAS, Dimitrios. Addressing cloud computing security issues. Future Generation Computer Systems, 2012. Available at: https://www.sciencedirect.com/science/article/pii/S0167739X10002554