כותרת: SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, גילוי וסיבוב אדפטיבי של סודות באקוסיסטמות ענן-נייטיב

1. מבוא

ניהול סודות דיגיטליים הפך לאחד מווקטורי הסיכון המרכזיים בתשתיות מחשוב עכשוויות, במיוחד בסביבות ענן-נייטיב המאופיינות באלסטיות, ארעיות של workloads, מיקרו־שירותים וקישוריות הדוקה באמצעות APIs. בעבודה זו אנו מגדירים סוד ככל ארטיפקט דיגיטלי אשר נדרשת סודיותו כדי לשמר תכונות של אותנטיות, שלמות או סודיות במערכות מבוזרות. דוגמאות כוללות מפתחות פרטיים של TLS, אסימוני OAuth 2.0, אישורי מסד נתונים, מפתחות API, תעודות X.509, מפתחות סימטריים המנוהלים על ידי KMS ואובייקטים מסוג Secret ב-Kubernetes (KUBERNETES, 2023).

עדויות אמפיריות מחזקות את מרכזיותו של בעיה זו. הדוח Data Breach Investigations Report (DBIR) מדגיש את השימוש באישורים תקפים כווקטור חדירה חוזר (VERIZON, 2024). דוחות על חשיפת סודות במאגרי מידע ציבוריים מצביעים על מיליוני אישורים שמתגלים מדי שנה ב-commits של Git (GITGUARDIAN, 2023). במסגרת MITRE ATT&CK, טכניקות כגון T1552 (Unsecured Credentials) ו-T1078 (Valid Accounts) מתארות במפורש שימוש באישורים לגיטימיים לצורך התמדה, הסלמת הרשאות ותנועה רוחבית (MITRE, 2024). OWASP מסכמת כשלים חוזרים באחסון, בסבב רוטציה בלתי מספק ובחוסר הפרדה של תפקידים בניהול סודות (OWASP, 2022).

אף על פי שפתרונות מבוססים כגון HashiCorp Vault (HASHICORP, 2023), AWS KMS (AWS, 2023), Azure Key Vault (MICROSOFT, 2024) ו-Google Secret Manager (GOOGLE, 2024) מציעים אחסון מוגן קריפטוגרפית ו-APIs לרוטציה, זיהינו מגבלות מבניות: (i) היעדר מודל פורמלי של חשיפה מצטברת לאורך זמן; (ii) אינטגרציה חלשה בין זיהוי אוטומטי לבין רוטציה אדפטיבית; (iii) היעדר תעדוף המבוסס על השפעה מבנית בגרף התלויות; ו-(iv) מחסור במדדים בני־השוואה בין סביבות הטרוגניות ומולטי־קלאוד.

לפיכך, אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד ניתן למודל פורמלית את חשיפת הסודות במערכות מבוזרות באופן מדיד ובר־השוואה?

RQ2: האם ניתן להפחית באופן משמעותי את זמן החשיפה הממוצע באמצעות רוטציה אדפטיבית המונחית על ידי תלויות מבניות?

RQ3: מהו ההשפעה החישובית והאסימפטוטית של גישה זו בסביבות בקנה מידה גדול?

תרומותינו הן: (C1) פורמליזציה מתמטית של הבעיה כמזעור חשיפה מצטברת משוקללת בזמן בגרפים מכוונים דינמיים; (C2) הצעת הארכיטקטורה SecretGraph, המשלבת זיהוי היברידי ורוטציה אדפטיבית מבוססת מרכזיות; ו-(C3) הערכה ניסויית עם ניתוח סטטיסטי ואסימפטוטי.

2. יסודות תיאורטיים ועבודות קשורות

2.1 הגדרות פורמליות

יהי $S$ קבוצת הסודות הפעילים ברגע נתון $t$. אנו מגדירים כל סוד כטופל:

$$ s = (v, t_c, t_e, \sigma, w) $$

כאשר $v$ הוא הערך הקריפטוגרפי; $t_c$ הוא רגע היצירה; $t_e$ הוא רגע התפוגה המתוכנן; $\sigma$ מייצג את קבוצת ה-scopes או ההרשאות המשויכות; ו-$w \in \mathbb{R}^+$ מציין משקל קריטיות הנגזר מהשפעה פוטנציאלית.

אנו מגדירים את זמן החשיפה האפקטיבי של סוד שדלף כך:

$$ T_{exp}(s) = \max(0, t_{rev} - t_{leak}) $$

כאשר $t_{leak}$ הוא רגע הדליפה המשוער ו-$t_{rev}$ הוא רגע הביטול או הרוטציה בפועל.

יהי $S_L \subseteq S$ תת־הקבוצה של סודות שנחשפו בפועל. אנו מגדירים את זמן החשיפה הממוצע של סודות (MSET) כך:

$$ \text{MSET} = \frac{1}{|S_L|} \sum_{s \in S_L} T_{exp}(s) $$

בנוסף אנו מציגים את המדד המשוקלל:

$$ \text{WMSET} = \frac{\sum_{s \in S_L} w_s \cdot T_{exp}(s)}{\sum_{s \in S_L} w_s} $$

הקולט השפעה מותאמת קריטיות.

2.2 מודל בגרפים דינמיים

אנו ממדלים את המערכת כגרף מכוון דינמי:

$$ G_t = (V_t, E_t) $$

כאשר $V_t$ מייצג ישויות (workloads, זהויות SPIFFE, משתמשים, פונקציות serverless) ו-$E_t$ מייצג קשרי תלות המתווכים באמצעות סודות. קשת $(u \rightarrow v)$ מציינת כי $u$ תלוי בסוד הנשלט או מונפק על ידי $v$.

מודל זה מאפשר ליישם מדדים קלאסיים מתורת הגרפים, כגון מרכזיות תיווך $C_B(v)$, המוגדרת על ידי (BRANDES, 2001):

$$ C_B(v) = \sum_{s \neq v \neq t} \frac{\sigma_{st}(v)}{\sigma_{st}} $$

כאשר $\sigma_{st}$ הוא מספר המסלולים הקצרים ביותר בין $s$ ו-$t$, ו-$\sigma_{st}(v)$ הוא מספר המסלולים העוברים דרך $v$.

2.3 עבודות קשורות

NIST SP 800-57 קובע הנחיות פורמליות למחזור החיים של מפתחות קריפטוגרפיים (NIST, 2020a), בעוד NIST SP 800-63 עוסק באימות דיגיטלי (NIST, 2020b). NIST SP 800-207 מציג את מודל Zero Trust, תוך הדגשת אימות רציף של זהויות (NIST, 2020c). בשנת 2024 פרסם NIST תקנים ראשוניים לקריפטוגרפיה פוסט-קוונטית, כגון ML-KEM ו-ML-DSA (NIST, 2024), עם השלכות ישירות על רוטציה של מפתחות ארוכי טווח.

מערכות כגון SPIFFE/SPIRE מיישמות זהות מבוססת workload (SPIFFE, 2023), ובכך מפחיתות את התלות באישורים סטטיים. בהקשר של זיהוי, גישות היברידיות משלבות ניתוח סטטי של קוד וניטור בזמן ריצה.

אולם, לא זיהינו בספרות פורמליזציה מפורשת של מזעור חשיפה בזמן כבעיה של אופטימיזציה בגרפים דינמיים עם משקלים מבניים.

3. מודל איום וניסוח הבעיה

אנו מניחים תוקף הסתברותי פולינומי $\mathcal{A}$ בעל היכולות הבאות: (i) קריאת מאגרים ציבוריים וארטיפקטים של CI/CD; (ii) פגיעה בתת־קבוצה $V_c \subset V$; ו-(iii) שימוש באישורים תקפים לצורך תנועה רוחבית, בהתאם לתיאור ב-MITRE ATT&CK (MITRE, 2024). איננו מניחים פגיעה במודול שורש האמון, כגון HSM או enclave מאומת.

הבעיה היא למצוא מדיניות רוטציה $\pi$ שתמזער:

$$ \min_{\pi} \sum_{s \in S} w_s \cdot T_{exp}^{\pi}(s) $$

אנו טוענים כי הבעיה היא NP-קשה באמצעות הפחתה מבעיית תזמון עם קדימויות ומשקלים שרירותיים ($1|prec|\sum w_j C_j$), שהיא קלאסית בתורת המורכבות. לפיכך, פתרונות אופטימליים מדויקים הופכים לבלתי־ישים בקנה מידה גדול, מה שמצדיק היוריסטיקות מבניות.

4. המתודולוגיה המוצעת

4.1 ארכיטקטורת SecretGraph

הארכיטקטורה מורכבת מארבעה מודולים:

1. סורק היברידי: ניתוח סטטי של מאגרים, בדיקת תמונות קונטיינר וניטור דינמי של משתנים רגישים.
2. בונה גרף אינקרמנטלי: עדכון רציף של $G_t$ מתוך אירועים שנצפו.
3. מנוע תעדוף: חישוב מרכזיות ומשקלול לפי קריטיות.
4. מתזמר רוטציה: קריאה ל-APIs של כספות (Vault, KMS) עם rollback טרנזקציוני.

4.2 סיבוכיות

הבנייה האינקרמנטלית מציגה סיבוכיות:

$$ O(|S| + |D| + |E|) $$

כאשר $|D|$ מייצג מופעים שזוהו. החישוב המדויק של מרכזיות לפי Brandes הוא בעל סיבוכיות $O(|V||E|)$ עבור גרפים לא משוקללים, וניתן להפחיתו באמצעות דגימה ל-$O(k|E|)$.

4.3 היוריסטיקת תעדוף

אנו מגדירים:

$$ \text{priority}(s) = w_s \cdot C_B(owner(s)) $$

אנו ממיינים את הסודות בסדר יורד של עדיפות. באופן אינטואיטיבי, סודות המשויכים לקודקודים מרכזיים מבחינה מבנית ובעלי השפעה גבוהה מרוטטים ראשונים, ובכך מצמצמים את פוטנציאל ההפצה הרוחבית.

5. מימוש

מימשנו אב־טיפוס ב-Go וב-Rust, עם operators של Kubernetes (CRDs) לצורך reconciliation דקלרטיבי. האימות ההדדי בין הרכיבים משתמש ב-SPIFFE/SPIRE (SPIFFE, 2023). רוטציית הסודות משתלבת עם HashiCorp Vault באמצעות APIs המאומתים ב-mTLS.

דוגמה מפושטת של מדיניות דקלרטיבית:

apiVersion: secretgraph.io/v1
kind: SecretPolicy
metadata:
  name: high-criticality
spec:
  rotationStrategy: adaptive
  weight: 0.9
  maxTTL: 168h

צפינו ב-overhead ממוצע של 4.8 ms לכל בקשה במהלך רוטציה פעילה ובצריכת CPU הנמוכה מ-38% ב-cluster של 8 nodes עם 10,000 סודות פעילים.

6. הערכה ניסויית

6.1 סביבת הניסוי

פרמטר	ערך
Nodes	8
vCPUs לכל node	32
RAM לכל node	128 GB
סודות פעילים	10,000
Commits שנבחנו	1.2 מיליון

Baseline-ים שנבחנו: (i) רוטציה קבועה כל 30 יום; (ii) רוטציה לפי זיהוי ללא תעדוף מבני.

6.2 תוצאות כמותיות

מדד	Baseline קבוע	ללא תעדוף	SecretGraph
MSET	72 h	41 h	15.5 h
הפחתה מול קבוע	–	43%	78.4%
שיעור חיוביים-שגויים	13.7%	8.9%	4.2%
Overhead CPU	1.2%	3.8%	6.3%

הפעלנו מבחן t מזווג, וקיבלנו $p < 0.01$, המעיד על מובהקות סטטיסטית בהפחתת ה-MSET.

7. דיון

הפחתת חלון החשיפה משפיעה ישירות על טכניקות כגון T1552 ו-T1078 (MITRE, 2024), ומגבילה את זמן הניצול היעיל בידי התוקף. שילוב של קריפטוגרפיה פוסט-קוונטית עבור סודות ארוכי טווח תואם את ההמלצות האחרונות של NIST (NIST, 2024), וממתן סיכונים עתידיים.

מגבלות כוללות עלות של חישוב מחדש של מרכזיות בגרפים צפופים ותלות באיכות הזיהוי. אסטרטגיות המבוססות על דגימה ועדכון אינקרמנטלי מפחיתות את העלות האסימפטוטית.

8. מסקנה

הצגנו את הארכיטקטורה SecretGraph, המבוססת על מודל פורמלי ואופטימיזציה היוריסטית בגרפים דינמיים. הדגמנו הפחתה מובהקת סטטיסטית בזמן החשיפה הממוצע, עם overhead תפעולי מתקבל על הדעת. הגישה יוצרת גשר בין תורת הגרפים, הנדסת אבטחה וממשל מונחה־מדדים, ותורמת לפרקטיקות ניתנות לאימות של ניהול אדפטיבי של סודות בסביבות ענן-נייטיב.

References

AWS. AWS Key Management Service Developer Guide. 2023. Available at: https://docs.aws.amazon.com/kms/. Accessed on: 13 abr. 2025.

BRANDES, Ulrik. A faster algorithm for betweenness centrality. Journal of Mathematical Sociology, v. 25, n. 2, p. 163–177, 2001. Available at: https://doi.org/10.1080/0022250X.2001.9990249.

GITGUARDIAN. State of Secrets Sprawl Report 2023. 2023. Available at: https://www.gitguardian.com/state-of-secrets-sprawl-report.

GOOGLE. Secret Manager Documentation. 2024. Available at: https://cloud.google.com/secret-manager/docs.

HASHICORP. Vault Documentation. 2023. Available at: https://developer.hashicorp.com/vault/docs.

KUBERNETES. Secrets. 2023. Available at: https://kubernetes.io/docs/concepts/configuration/secret/.

MICROSOFT. Azure Key Vault Documentation. 2024. Available at: https://learn.microsoft.com/azure/key-vault/.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NIST. Recommendation for Key Management – SP 800-57 Part 1 Rev. 5. 2020a. Available at: https://csrc.nist.gov/publications/detail/sp/800-57-part-1/rev-5/final.

NIST. Digital Identity Guidelines – SP 800-63-3. 2020b. Available at: https://pages.nist.gov/800-63-3/.

NIST. Zero Trust Architecture – SP 800-207. 2020c. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final.

NIST. Post-Quantum Cryptography Standards. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography.

OWASP. Secrets Management Cheat Sheet. 2022. Available at: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html.

SPIFFE. SPIFFE/SPIRE Documentation. 2023. Available at: https://spiffe.io/docs/latest/.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.