SecretGraph: ארכיטקטורה פורמלית, ניתנת להרחבה וניתנת לאימות לניהול, זיהוי וסבב אדפטיבי של סודות באקוסיסטמות נייטיביות לענן

1. מבוא

ניהול סודות דיגיטליים הפך לאחד מווקטורי הסיכון המרכזיים בתשתיות מחשוב עכשוויות, במיוחד בסביבות ילידיות־ענן המאופיינות באלסטיות, באפמריות של עומסי עבודה, במיקרו־שירותים ובצימוד חזק באמצעות APIs. בעבודה זו אנו מגדירים סוד ככל ארטיפקט דיגיטלי שסודיותו נחוצה לשמירה על תכונות של אותנטיות, שלמות או סודיות במערכות מבוזרות. דוגמאות כוללות מפתחות פרטיים של TLS, אסימוני OAuth 2.0, אישורי גישה למסדי נתונים, מפתחות API, תעודות X.509, מפתחות סימטריים המנוהלים באמצעות KMS ואובייקטים מסוג Secret ב‑Kubernetes (KUBERNETES, 2023).

ראיות אמפיריות מחזקות את מרכזיות הבעיה. הדו"ח Data Breach Investigations Report (DBIR) מדגיש שימוש באישורים תקפים כווקטור חדירה חוזר (VERIZON, 2024). דו"חות על חשיפת סודות במאגרים ציבוריים מצביעים על מיליוני אישורים המתגלים מדי שנה ב‑commits של Git (GITGUARDIAN, 2023). במסגרת MITRE ATT&CK, טכניקות כגון T1552 (Unsecured Credentials) ו‑T1078 (Valid Accounts) מתארות במפורש שימוש באישורים לגיטימיים לצורך התמדה, הסלמת הרשאות ותנועה רוחבית (MITRE, 2024). OWASP ממסדת כשלים חוזרים באחסון, סבב רוטציה בלתי מספק והיעדר הפרדת תפקידים בניהול סודות (OWASP, 2022).

אף כי פתרונות מבוססים כגון HashiCorp Vault (HASHICORP, 2023), AWS KMS (AWS, 2023), Azure Key Vault (MICROSOFT, 2024) ו‑Google Secret Manager (GOOGLE, 2024) מציעים אחסון מוגן קריפטוגרפית ו‑APIs לרוטציה, אנו מזהים מגבלות מבניות: (i) היעדר מודל פורמלי לחשיפה זמנית מצטברת; (ii) אינטגרציה חלשה בין גילוי אוטומטי לבין רוטציה אדפטיבית; (iii) היעדר תיעדוף המבוסס על השפעה מבנית בגרף התלויות; ו‑(iv) מחסור במדדים בני־השוואה בין סביבות הטרוגניות ורב־ענניות.

לפיכך אנו מנסחים את שאלות המחקר הבאות:

RQ1: כיצד ניתן למודל באופן פורמלי את חשיפת הסודות במערכות מבוזרות באופן מדיד ובר־השוואה?

RQ2: האם ניתן לצמצם באופן משמעותי את זמן החשיפה הממוצע באמצעות רוטציה אדפטיבית המונחית על ידי תלויות מבניות?

RQ3: מהי ההשפעה החישובית והאסימפטוטית של גישה זו בסביבות בקנה מידה גדול?

תרומותינו הן: (C1) פורמליזציה מתמטית של הבעיה כמזעור חשיפה זמנית משוקללת בגרפים מכוונים דינמיים; (C2) הצעת ארכיטקטורת SecretGraph המשלבת גילוי היברידי ורוטציה אדפטיבית המבוססת על מרכזיות; ו‑(C3) הערכה ניסויית הכוללת ניתוח סטטיסטי ואסימפטוטי.

2. יסודות תאורטיים ועבודות קשורות

2.1 הגדרות פורמליות

יהי $S$ קבוצת הסודות הפעילים ברגע נתון $t$. אנו מגדירים כל סוד כטופל:

$$ s = (v, t_c, t_e, \sigma, w) $$

כאשר $v$ הוא הערך הקריפטוגרפי; $t_c$ הוא זמן היצירה; $t_e$ הוא זמן התפוגה המתוכנן; $\sigma$ מייצג את קבוצת התחומים או ההרשאות המשויכות; ו‑$w \in \mathbb{R}^+$ מציין משקל קריטיות הנגזר מהשפעה פוטנציאלית.

אנו מגדירים את זמן החשיפה האפקטיבי של סוד שדלף כ:

$$ T_{exp}(s) = \max(0, t_{rev} - t_{leak}) $$

כאשר $t_{leak}$ הוא רגע הדליפה המוערך ו‑$t_{rev}$ הוא רגע הביטול או הרוטציה האפקטיבית.

יהי $S_L \subseteq S$ תת־הקבוצה של הסודות שדלפו בפועל. אנו מגדירים את זמן החשיפה הממוצע של סודות (MSET) כך:

$$ \text{MSET} = \frac{1}{|S_L|} \sum_{s \in S_L} T_{exp}(s) $$

בנוסף אנו מציגים את המדד המשוקלל:

$$ \text{WMSET} = \frac{\sum_{s \in S_L} w_s \cdot T_{exp}(s)}{\sum_{s \in S_L} w_s} $$

המשקף השפעה מותאמת לקריטיות.

2.2 מודל בגרפים דינמיים

אנו ממדלים את המערכת כגרף מכוון דינמי:

$$ G_t = (V_t, E_t) $$

כאשר $V_t$ מייצג ישויות (workloads, זהויות SPIFFE, משתמשים, פונקציות serverless) ו‑$E_t$ מייצג יחסי תלות המתווכים באמצעות סודות. קשת $(u \rightarrow v)$ מציינת כי $u$ תלוי בסוד הנשלט או מונפק על ידי $v$.

מודל זה מאפשר יישום של מדדים קלאסיים מתורת הגרפים, כגון מרכזיות תיווך $C_B(v)$, המוגדרת על ידי (BRANDES, 2001):

$$ C_B(v) = \sum_{s \neq v \neq t} \frac{\sigma_{st}(v)}{\sigma_{st}} $$

כאשר $\sigma_{st}$ הוא מספר המסלולים הקצרים ביותר בין $s$ ל‑$t$, ו‑$\sigma_{st}(v)$ הם אלו העוברים דרך $v$.

2.3 עבודות קשורות

המסמך NIST SP 800-57 קובע הנחיות פורמליות למחזור החיים של מפתחות קריפטוגרפיים (NIST, 2020a), בעוד NIST SP 800-63 עוסק באימות דיגיטלי (NIST, 2020b). NIST SP 800-207 מציג את מודל Zero Trust, המדגיש אימות מתמשך של זהויות (NIST, 2020c). בשנת 2024 פרסם NIST תקנים ראשוניים לקריפטוגרפיה פוסט־קוונטית, כגון ML-KEM ו‑ML-DSA (NIST, 2024), בעלי השלכות ישירות על רוטציה של מפתחות ארוכי טווח.

מערכות כגון SPIFFE/SPIRE מממשות זהות המבוססת על עומס עבודה (SPIFFE, 2023), ובכך מפחיתות תלות באישורים סטטיים. בהקשר של גילוי, גישות היברידיות משלבות ניתוח סטטי של קוד עם ניטור בזמן ריצה.

עם זאת, לא זיהינו בספרות פורמליזציה מפורשת של מזעור חשיפה זמנית כבעיית אופטימיזציה בגרפים דינמיים עם משקלים מבניים.

3. מודל האיום וניסוח הבעיה

אנו מניחים תוקף הסתברותי פולינומי $\mathcal{A}$ בעל היכולות הבאות: (i) קריאה של מאגרים ציבוריים וארטיפקטים של CI/CD; (ii) פגיעה בתת־קבוצה $V_c \subset V$; ו‑(iii) שימוש באישורים תקפים לתנועה רוחבית, כפי שמתואר במסגרת MITRE ATT&CK (MITRE, 2024). איננו מניחים פגיעה במודול שורש האמון, כגון HSM או enclave מאומת.

הבעיה היא למצוא מדיניות רוטציה $\pi$ הממזערת:

$$ \min_{\pi} \sum_{s \in S} w_s \cdot T_{exp}^{\pi}(s) $$

אנו טוענים כי הבעיה היא NP‑קשה באמצעות הפחתה מבעיית תזמון עם קדימויות ומשקלים שרירותיים ($1|prec|\sum w_j C_j$), קלאסית בתורת הסיבוכיות. לכן, פתרונות אופטימליים מדויקים נעשים בלתי ישימים בקנה מידה גדול, מה שמצדיק שימוש בהיוריסטיקות מבניות.

4. מתודולוגיה מוצעת

4.1 ארכיטקטורת SecretGraph

הארכיטקטורה מורכבת מארבעה מודולים:

1. סורק היברידי: ניתוח סטטי של מאגרים, בדיקת תמונות קונטיינר וניטור דינמי של משתנים רגישים.
2. בונה גרף אינקרמנטלי: עדכון רציף של $G_t$ על בסיס אירועים שנצפו.
3. מנוע תיעדוף: חישוב מרכזיות ושקלול לפי קריטיות.
4. מתזמן רוטציה: הפעלת APIs של כספות (Vault, KMS) עם rollback טרנזקציוני.

4.2 סיבוכיות

הבנייה האינקרמנטלית מציגה סיבוכיות:

$$ O(|S| + |D| + |E|) $$

כאשר $|D|$ מייצג מופעים שהתגלו. החישוב המדויק של מרכזיות לפי Brandes הוא בסיבוכיות $O(|V||E|)$ עבור גרפים בלתי משוקללים, וניתן לצמצמו באמצעות דגימה ל‑$O(k|E|)$.

4.3 היוריסטיקת תיעדוף

אנו מגדירים:

$$ \text{priority}(s) = w_s \cdot C_B(owner(s)) $$

אנו מסדרים סודות בסדר יורד של עדיפות. אינטואיטיבית, סודות המשויכים לקודקודים מרכזיים מבנית ובעלי השפעה גבוהה עוברים רוטציה תחילה, ובכך מצמצמים את פוטנציאל ההתפשטות הרוחבית.

5. מימוש

מימשנו אב־טיפוס ב‑Go וב‑Rust, עם אופרטורי Kubernetes (CRDs) לצורך התאמה דקלרטיבית (reconciliação declarativa). האימות ההדדי בין רכיבי המערכת משתמש ב‑SPIFFE/SPIRE (SPIFFE, 2023). סבב הסודות (rotation) משולב עם HashiCorp Vault באמצעות APIs המאומתים באמצעות mTLS.

דוגמה מפושטת למדיניות דקלרטיבית:

apiVersion: secretgraph.io/v1
kind: SecretPolicy
metadata:
  name: high-criticality
spec:
  rotationStrategy: adaptive
  weight: 0.9
  maxTTL: 168h

נצפה עומס ממוצע של ‎4.8 ms‎ לכל בקשה במהלך סבב פעיל, וצריכת CPU נמוכה מ‑38% באשכול של 8 צמתים עם 10,000 סודות פעילים.

6. הערכה ניסויית

6.1 סביבת הניסוי

פרמטר	ערך
צמתים	8
vCPUs לכל צומת	32
RAM לכל צומת	128 GB
סודות פעילים	10,000
Commitים שניתחו	1.2 מיליון

Baselines שנשקלו: (i) סבב קבוע כל 30 יום; (ii) סבב המבוסס על זיהוי ללא תעדוף מבני.

6.2 תוצאות כמותיות

מדד	Baseline קבוע	ללא תעדוף	SecretGraph
MSET	72 h	41 h	15.5 h
הפחתה לעומת קבוע	–	43%	78.4%
חיובי‑שגוי	13.7%	8.9%	4.2%
עומס CPU	1.2%	3.8%	6.3%

יישמנו מבחן t מצומד (paired t-test) וקיבלנו ‎$p < 0.01$‎, המצביע על מובהקות סטטיסטית בהפחתת ה‑MSET.

7. דיון

הפחתת חלון החשיפה משפיעה ישירות על טכניקות כגון T1552 ו‑T1078 (MITRE, 2024), ומגבילה את משך הזמן השימושי לניצול מצד תוקפים. שילוב קריפטוגרפיה פוסט‑קוונטית עבור סודות ארוכי־טווח מתיישר עם ההמלצות העדכניות של NIST (NIST, 2024), ומפחית סיכונים עתידיים פוטנציאליים.

המגבלות כוללות עלות חישוב מחדש של מרכזיות בגרפים צפופים ותלות באיכות הזיהוי. אסטרטגיות המבוססות על דגימה ועדכון אינקרמנטלי מפחיתות את העלות האסימפטוטית.

8. סיכום

הצגנו את ארכיטקטורת SecretGraph, המבוססת על מידול פורמלי ואופטימיזציה היוריסטית בגרפים דינמיים. הדגמנו הפחתה מובהקת סטטיסטית בזמן החשיפה הממוצע, עם עומס תפעולי סביר. הגישה יוצרת גשר בין תורת הגרפים, הנדסת אבטחה וממשל מונחה‑מדדים, ותורמת לפרקטיקות ניתנות לאימות של ניהול אדפטיבי של סודות בסביבות ענן‑ילידיות.

References

AWS. AWS Key Management Service Developer Guide. 2023. Available at: https://docs.aws.amazon.com/kms/. Accessed on: 13 abr. 2025.

BRANDES, Ulrik. A faster algorithm for betweenness centrality. Journal of Mathematical Sociology, v. 25, n. 2, p. 163–177, 2001. Available at: https://doi.org/10.1080/0022250X.2001.9990249.

GITGUARDIAN. State of Secrets Sprawl Report 2023. 2023. Available at: https://www.gitguardian.com/state-of-secrets-sprawl-report.

GOOGLE. Secret Manager Documentation. 2024. Available at: https://cloud.google.com/secret-manager/docs.

HASHICORP. Vault Documentation. 2023. Available at: https://developer.hashicorp.com/vault/docs.

KUBERNETES. Secrets. 2023. Available at: https://kubernetes.io/docs/concepts/configuration/secret/.

MICROSOFT. Azure Key Vault Documentation. 2024. Available at: https://learn.microsoft.com/azure/key-vault/.

MITRE. ATT&CK Framework. 2024. Available at: https://attack.mitre.org/.

NIST. Recommendation for Key Management – SP 800-57 Part 1 Rev. 5. 2020a. Available at: https://csrc.nist.gov/publications/detail/sp/800-57-part-1/rev-5/final.

NIST. Digital Identity Guidelines – SP 800-63-3. 2020b. Available at: https://pages.nist.gov/800-63-3/.

NIST. Zero Trust Architecture – SP 800-207. 2020c. Available at: https://csrc.nist.gov/publications/detail/sp/800-207/final.

NIST. Post-Quantum Cryptography Standards. 2024. Available at: https://csrc.nist.gov/projects/post-quantum-cryptography.

OWASP. Secrets Management Cheat Sheet. 2022. Available at: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html.

SPIFFE. SPIFFE/SPIRE Documentation. 2023. Available at: https://spiffe.io/docs/latest/.

VERIZON. 2024 Data Breach Investigations Report. 2024. Available at: https://www.verizon.com/business/resources/reports/dbir/.