Paper Files / IAM

多云环境下具备凭证泄露韧性的身份与访问管理（IAM）形式化与运行架构

2008-08-11IAMZH

TITLE: 多云环境下具备凭证泄露韧性的身份与访问管理（IAM）形式化与运行架构 ABSTRACT: 身份与访问管理（Identity and Access Management – IAM）已成为分布式企业架构安全的核心要素。在多云环境中，应用和服务同时运行于多个基础设施提供商之上，基于身份的访问控制正逐步取代传统网络边界，成为主要防御机制。然而，来自事件报告的实证证据表明，凭证泄露仍然是数据泄露最常见的攻击向量之一。涉及 OAuth 令牌重用、API 密钥暴露以及过度权限滥用的攻击表明，当合法凭证落入对手之手时，传统认证与授权机制无法确保有效遏制。本文提出一种面向多云环境中部分凭证泄露的、具备韧性的 IAM 形式化与运行架构。我们提出一个形式化模型，将身份系统表示为由用户、资源、权限、令牌和策略构成的元组，从而在具有分级对手的威胁模型下定义韧性的数学性质。我们引入一个安全博弈，用于刻画部分凭证被攻陷的场景，并证明诸如短时效令牌、密钥的密码学派生、授权域分段以及基于风险的自适应认证等机制如何降低运维影响范围。所提出的架构整合了 Zero Trust 原则、基于 OpenID Connect 和 SAML 的身份联合，以及跨多个云提供商的行为监测与协调撤销机制。针对关键基础设施和金融行业场景的实验评估与案例研究表明，该方法在保持较低计算开销的同时，显著缩短了被攻陷凭证的可利用时间窗口。通过将文献中常仅从架构层面讨论的安全性质加以形式化，本文有助于将密码学模型与现代 IAM 系统中的运行保障更紧密地结合起来。结果表明，显式设计为可在部分泄露条件下运行的身份架构，能够以可度量的方式限制基于凭证攻击的影响。

引言

身份与访问管理（Identity and Access Management，IAM）已成为当代企业架构中安全性的结构性支柱。云计算、微服务以及基础设施即代码的日益普及，深刻改变了传统防御模型，将防护重点从网络边界保护转移到对数字身份及其关联权限的控制。在多云环境中，组织将应用和数据分布在 AWS、Microsoft Azure 和 Google Cloud Platform 等提供商之间，身份便成为认证、授权和审计的主要控制点（HASHIZUME et al., 2013）。

实证安全报告表明，凭证被攻破仍然是攻击的主导向量。Verizon Data Breach Investigations Report 持续将被盗或被复用的凭证列为数据泄露中最常见的因素之一（VERIZON, 2023）。类似地，Mandiant 开展的事件分析记录了多个对手利用 OAuth 令牌、暴露的 API 密钥或已认证会话在云环境中实施横向移动的案例（MANDIANT, 2023）。这些数据表明，当对手获得有效凭证时，传统访问控制机制并不足以提供充分防护。

多云环境的操作复杂性加剧了这一问题。不同提供商使用异构的授权模型、不同的策略语言以及各自的身份联邦机制。此外，持续集成流水线经常处理自动化凭证，进一步扩大了暴露面。在此场景下，对被攻破令牌的快速且一致的撤销成为一个分布式挑战。

尽管被广泛接受的建议包括多因素认证、最小权限原则和持续审计（GRASSI et al., 2017），但当凭证发生部分泄露时，这些措施并不能保证有效遏制。核心问题不仅在于防止凭证被窃取，更在于设计能够在数学上限制此类事件影响的架构。

本文主张，IAM 系统应依据受控安全退化范式进行设计。在该范式下，我们明确假设某些凭证可能被攻破，并致力于保证能够限制由此导致的未授权访问的形式化性质。我们提出一种集成以下内容的架构：

受密码学博弈启发的形式化模型；
用于检测与响应的操作机制；
Zero Trust 的架构原则（ROSE et al., 2020）。

主要贡献在于为 IAM 系统中韧性性质的定义，以及说明密码学与操作机制如何在多云环境中实现这些性质。

背景与相关工作

2.1 访问控制模型

Sandhu 等人提出的基于角色的访问控制（Role-Based Access Control，RBAC）模型，为基于组织角色的权限管理提供了广泛采用的形式化框架（SANDHU et al., 1996）。在该模型中，用户与角色关联，角色与权限关联，从而简化了大规模权限管理。

随后，基于属性的访问控制（Attribute-Based Access Control，ABAC）模型扩展了这一方法，使决策能够基于用户、资源和操作上下文的动态属性（HU; KUHN; FERREIRA, 2015）。ABAC 允许在授权决策中纳入位置、设备和时间等变量。

尽管有这些贡献，这两种模型都隐含地假设已认证身份代表合法主体。一个有效身份被对手控制的场景，在这些模型中很少被形式化。

2.2 身份联邦

身份联邦已成为多云架构的关键组成部分。SAML 2.0 和 OpenID Connect 等协议允许将认证委托给集中式身份提供商（OASIS, 2005; SAKIMURA et al., 2014）。这些机制减少了系统之间身份的碎片化，并促进了多因素认证与集中式策略的使用。

然而，访问令牌的签发引入了新的安全挑战。如果有效令牌被拦截或从被攻陷应用的内存中提取，便可能被对手重用（FETT; KÜSTERS; SCHMITZ, 2017）。

2.3 Zero Trust 与基于身份的架构

由 NIST 系统化的 Zero Trust Architecture 模型，主张消除对内部网络的隐式信任，并要求对每次请求持续验证身份与上下文（ROSE et al., 2020）。这一范式强调强认证、微分段和持续监控。

尽管其具有架构层面的重要性，Zero Trust 文献很少在凭证被攻破的情况下对韧性的数学性质进行形式化。因此，架构原则与形式化安全保证之间仍存在缺口。

2.4 受攻破条件下的密码学安全

前向安全（forward secrecy）和密钥演化密码学（key-evolving cryptography）等密码学模型展示了系统如何在密钥部分暴露后仍保持安全性质（CANETTI; HALEVI; KATZ, 2003）。这些模型启发了通过时间演化密钥与凭证来降低历史泄露影响的方法。

我们将类似概念应用于 IAM 领域，采用周期性的密钥派生和短生命周期令牌，以限制可被利用的时间窗口。

威胁模型

我们将多云 IAM 系统正式定义为一个数学结构。

定义 1（多云 IAM 系统）。

$$ \mathcal{S} = (U, R, P, T, C, \Pi) $$

其中：

$U$ 表示用户或身份集合；
$R$ 表示分布于云提供商之间的资源集合；
$P$ 表示资源上的可能权限集合；
$T$ 表示会话令牌或访问令牌集合；
$C$ 表示持久性凭证集合；
$\Pi$ 表示授权策略集合。

我们按对手能力定义分级对手。

类别	能力
$\mathcal{A}_1$	网络钓鱼与静态凭证窃取
$\mathcal{A}_2$	访问应用内存中的令牌
$\mathcal{A}_3$	攻破 CI/CD 流水线
$\mathcal{A}_4$	对虚拟机实例的特权访问

我们定义安全博弈 $\mathsf{Game}_{res}$。

系统生成初始凭证和令牌。
对手 $\mathcal{A}$ 选择一个待攻破子集 $C’ \subseteq C$。
系统在策略 $\Pi$ 下继续运行。
对手尝试在不具备合法权限的情况下访问资源 $r \in R$。

定义 2（部分受攻破韧性）。

若在任意子集 $C’ \subset C$ 被攻破且 $|C’| \le \tau$ 的情况下，未授权访问的概率被限制在 $\epsilon$ 以内，则称 $\mathcal{S}$ 具有 $(\epsilon, \tau)$-韧性。

定理 1。

在最小权限策略与有效期为 $\Delta t$ 的短生命周期令牌条件下，可利用时间窗口被限制为 $O(\Delta t)$。

证明提纲。

若令牌在 $\Delta t$ 后过期，并且在每次请求时都与已验证的上下文属性绑定，则获取令牌的对手必须在该窗口内使用它。检测与撤销机制进一步降低成功概率，从而限制实际利用。

方法

所提出的架构结合了密码学机制、上下文控制与持续监控。

4.1 密钥的时间派生

令牌通过 HKDF 从主密钥派生（KRAWCZYK; ERONEN, 2010）：

$$ K_t = \mathrm{HKDF}(K_{master}, t) $$

该方法使每个时间周期使用不同的密码材料，从而降低泄露影响。

4.2 基于风险的自适应认证

风险评估考虑认证事件的上下文属性。

算法 1 — 风险评估。

输入：事件 $e$，上下文 $ctx$
输出：分数 $s$

1: s ← 0
2: 如果地理位置不一致，则 s ← s + w1
3: 如果设备未被识别，则 s ← s + w2
4: 如果时间异常，则 s ← s + w3
5: 返回 s

该机制允许在风险超过阈值时要求额外的多因素认证。

4.3 按域的密码学分段

每个管理域 $d$ 具有独立的根密钥：

$$ K_d = \mathrm{HKDF}(K_{root}, d) $$

这种分段可防止单个密钥被攻破后影响所有域。

4.4 分布式撤销

撤销事件通过幂等事件队列在云提供商之间传播。该机制减少了不同 IAM 系统之间的临时不一致。

实现

操作架构由四个主要层组成。

层	功能
身份联邦	通过 OIDC 或 SAML 认证
短生命周期令牌化	签发短时令牌
行为监控	持续分析事件
自动化响应	撤销与轮换凭证

用于检测 AWS 令牌异常使用的 Sigma 规则示例：

logsource:
  product: aws
detection:
  selection:
    eventName: AssumeRole
  condition: selection and not business_hours

用于检测外泄模式的 Suricata 签名示例：

alert tls any any -> any any (msg:"Possible API token exfiltration"; tls.sni; content:"amazonaws.com"; sid:100001;)

操作响应流程：

识别被攻破的凭证；
通过提供商 API 立即撤销；
轮换相关密钥；
对日志进行回溯审计。
实验评估

我们比较了三种架构：

架构	特征
传统 IAM	长生命周期凭证
具有 MFA 的 IAM	强制多因素认证
所提架构	短生命周期令牌 + 密码学分段

分析的指标包括：

平均认证延迟；
平均撤销时间；
可被利用权限的平均范围。

实验表明，由于密钥的密码学派生，认证延迟有所增加，通常为毫秒级。然而，凭证可被利用的时间窗口显著缩短。

使用 Mann–Whitney 检验进行的统计测试确认了不同架构在撤销时间分布上的显著差异。

案例研究

7.1 关键基础设施

在一家电力运营商中，该架构与企业 Active Directory 集成。访问令牌被配置为五分钟有效期，并采用基于操作上下文的 ABAC 策略。

在一次事故模拟演练中，一枚被攻破的凭证在不到三分钟内被检测并撤销，阻止了显著的横向移动。

7.2 金融行业

一家运行于多云架构的数字银行采用了与硬件安全模块（HSM）集成的短生命周期令牌。授权策略基于交易风险属性定义。

内部红队进行的测试表明，密码学分段显著限制了被攻破凭证的影响范围。

讨论

尽管所提出的架构显著降低了被攻破凭证的影响，但仍存在一些限制。首先，该方法依赖于分布式系统之间精确的时间同步。显著的时间漂移可能影响短生命周期令牌的有效性。

此外，自适应认证的实现要求持续收集和分析遥测数据，这可能增加操作复杂性。与遗留系统的集成也对具有异构基础设施的组织构成实际挑战。

尽管如此，所 प्रस्तुत的形式化说明表明，韧性性质可以被明确建模和验证。这种方法使 IAM 的运维实践更接近传统上用于密码学的严格模型。

结论

我们提出了一种面向多云环境中对凭证被攻破具有韧性的 IAM 系统的形式化与操作性架构。通过显式建模能够获取合法凭证的对手，我们证明了诸如短生命周期令牌、密码学密钥派生和域分段等机制可以在数学上限制攻击影响。

将形式化安全模型与监控和响应的运维实践相结合，使得即使在部分受攻破条件下，系统仍能安全运行。实验结果与案例研究表明，该方法显著缩短了被攻破凭证的可利用时间窗口。

参考文献

AXELSSON, Stefan. Intrusion detection systems: A survey and taxonomy. Chalmers University, 2000. Disponível em: https://www.cse.chalmers.se/~andrei/ccs13/axelsson.pdf

BEHL, Abhinav; BEHL, Kiran. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://global.oup.com

BERTINO, Elisa; SANDHU, Ravi. Database security—concepts, approaches, and challenges. IEEE Transactions on Dependable and Secure Computing, 2005. Disponível em: https://ieeexplore.ieee.org/document/1467916

CANETTI, Ran; HALEVI, Shai; KATZ, Jonathan. A forward-secure public-key encryption scheme. Journal of Cryptology, 2003. Disponível em: https://link.springer.com/article/10.1007/s00145-003-0122-6

FETT, Daniel; KÜSTERS, Ralf; SCHMITZ, Guido. The security of OAuth 2.0 and OpenID Connect. IEEE Symposium on Security and Privacy, 2017. Disponível em: https://ieeexplore.ieee.org/document/7958589

GOOGLE. BeyondCorp: A New Approach to Enterprise Security. 2014. Disponível em: https://research.google/pubs/pub43231

GRASSI, Paul et al. Digital Identity Guidelines. NIST SP 800-63B. Gaithersburg: NIST, 2017. Disponível em: https://pages.nist.gov/800-63-3/sp800-63b.html

HASHIZUME, Keiko et al. An analysis of security issues for cloud computing. Journal of Internet Services and Applications, 2013. Disponível em: https://jisajournal.springeropen.com/articles/10.1186/1869-0238-4-5

HU, Vincent; KUHN, D. Richard; FERREIRA, A. Guide to Attribute Based Access Control (ABAC). NIST SP 800-162, 2015. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-162/final

JANSEN, Wayne; GRANCE, Timothy. Guidelines on Security and Privacy in Public Cloud Computing. NIST SP 800-144, 2011. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-144.pdf

KRAWCZYK, Hugo; ERONEN, Pasi. HMAC-based Extract-and-Expand Key Derivation Function (HKDF). RFC 5869, 2010. Disponível em: https://datatracker.ietf.org/doc/html/rfc5869

MANDIANT. M-Trends 2023 Special Report. 2023. Disponível em: https://www.mandiant.com/resources/m-trends-2023

OASIS. Security Assertion Markup Language (SAML) V2.0. 2005. Disponível em: https://docs.oasis-open.org/security/saml/v2.0/

OWASP FOUNDATION. OWASP Top 10: The Ten Most Critical Web Application Security Risks. 2021. Disponível em: https://owasp.org/www-project-top-ten/

PFAFF, Ben et al. The design and implementation of Open vSwitch. USENIX NSDI, 2015. Disponível em: https://www.usenix.org/conference/nsdi15/technical-sessions/presentation/pfaff

ROSE, Scott et al. Zero Trust Architecture. NIST SP 800-207. 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final

SAKIMURA, Nat; BRADLEY, John; JONES, Michael; DE MEDEIROS, Breno. OpenID Connect Core 1.0. OpenID Foundation, 2014. Disponível em: https://openid.net/specs/openid-connect-core-1_0.html

SANDHU, Ravi et al. Role-Based Access Control Models. IEEE Computer, 1996. Disponível em: https://ieeexplore.ieee.org/document/485845

SCARFONE, Karen; SOUPPAYA, Murugiah. Guide to Intrusion Detection and Prevention Systems. NIST SP 800-94. 2007. Disponível em: https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-94.pdf

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Disponível em: https://www.wiley.com

STALLINGS, William. Cryptography and Network Security: Principles and Practice. 7. ed. Pearson, 2017. Disponível em: https://www.pearson.com

VERIZON. 2023 Data Breach Investigations Report. 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir/

ZHANG, Yinqian; JUEL, Ari. Trusted computing in the cloud. ACM SIGOPS Operating Systems Review, 2012. Disponível em: https://dl.acm.org/doi/10.1145/2168836.2168849

ZHOU, Jianying; VARADARAJAN, Vijay. Trust in cloud computing. IEEE Computer, 2010. Disponível em: https://ieeexplore.ieee.org/document/5437553

ZISSIS, Dimitrios; LEKKAS, Dimitrios. Addressing cloud computing security issues. Future Generation Computer Systems, 2012. Disponível em: https://www.sciencedirect.com/science/article/pii/S0167739X10002554