Schlüsselrotation und Erkennung

Schlüsselrotation bezeichnet das regelmäßige Ersetzen eines Secrets durch ein neues und das Außerbetriebnehmen des alten. Auch ein perfekt gespeicherter Schlüssel profitiert von Rotation:

• Begrenzt das Zeitfenster der Gefährdung: Wenn ein Schlüssel unbemerkt geleakt wurde, macht die Rotation ihn ungültig.
• Verringert die kryptografische Abnutzung: Unter einem einzelnen Schlüssel werden weniger Daten verschlüsselt.
• Erfüllt Compliance-Anforderungen: Standards wie PCI DSS schreiben eine regelmäßige Rotation vor.
• Entzieht ausgeschiedenen Personen den Zugriff: Die von ehemaligen Mitarbeitenden gesehenen Credentials werden unbrauchbar.

Der Grundgedanke: Der Wert eines Secrets für einen Angreifer nimmt ab, je häufiger es geändert wird. Rotation macht aus einem Leak ein vorübergehendes statt eines dauerhaften Problems.

Eine naive Rotation – den alten Schlüssel löschen und einen neuen erstellen – führt zu Ausfällen, weil Anwendungen, die noch den alten Schlüssel verwenden, sofort nicht mehr funktionieren. Eine sichere Rotation verwendet überlappende Gültigkeitszeiträume:

• 1. Generieren Sie einen neuen Schlüssel neben dem bestehenden.
• 2. Verteilen Sie den neuen Schlüssel an alle Consumer.
• 3. Aktivieren Sie den neuen Schlüssel für neue Vorgänge.
• 4. Übergangsfrist Lassen Sie beide Schlüssel gültig, während die Consumer umgestellt werden.
• 5. Außer Betrieb nehmen Sie den alten Schlüssel, sobald ihn nichts mehr verwendet, und widerrufen Sie ihn.

Diese Überlappung zweier Schlüssel bildet die Grundlage für eine Rotation ohne Ausfallzeiten.

Für eine Rotation ohne Unterbrechung des Datenverkehrs müssen Services während der Übergangsfrist sowohl den alten als auch den neuen Schlüssel akzeptieren. Ein Verifizierer prüft ein eingehendes Token gegen jeden aktuell gültigen Schlüssel.

Bei Signaturschlüsseln veröffentlichen Sie mehrere öffentliche Schlüssel und geben im Header mit einer Schlüssel-ID (kid) an, welcher Schlüssel ein Token signiert hat. Die Consumer wählen automatisch den passenden Schlüssel aus.

Erst wenn Telemetriedaten bestätigen, dass kein Datenverkehr mehr den alten Schlüssel verwendet, wird er außer Betrieb genommen.

Eine manuelle Rotation ist selten, fehleranfällig und wird unter Zeitdruck übersprungen. Automatisieren Sie sie. Cloud- und Vault-Plattformen können die Rotation ohne menschliches Eingreifen nach einem Zeitplan durchführen:

• AWS Secrets Manager führt eine Rotations-Lambda aus, die neue Zugangsdaten erstellt, sie testet und aktiviert.
• HashiCorp Vault rotiert Root-Zugangsdaten und stellt kurzlebige dynamische Secrets aus, sodass die Rotation kontinuierlich erfolgt.
• Cloud KMS kann Verschlüsselungsschlüssel in festen Intervallen automatisch rotieren.

Eine automatisierte Rotation ist außerdem die zuverlässigste Reaktion auf ein vermutetes Leck: ein Befehl oder Zeitplan, überall angewendet.

Ein Passwort zu rotieren, ist unkompliziert: Erstellen Sie ein neues und aktualisieren Sie die Consumer. Die Rotation eines Verschlüsselungsschlüssels ist schwieriger, weil alte Daten mit dem alten Schlüssel verschlüsselt wurden.

Die Standardlösung ist die Envelope-Verschlüsselung: Daten werden mit einem objektspezifischen Datenschlüssel verschlüsselt, und dieser Datenschlüssel wird durch einen Master-Key-Encryption-Key (KEK) verschlüsselt. Für die Rotation verschlüsseln Sie nur die kleinen Datenschlüssel mit dem neuen KEK neu, nicht den gesamten Datensatz.

Die Transit Engine von Vault erledigt dies mit versionierten Schlüsseln: Sie verfolgt, welche Version jeden Chiffretext verschlüsselt hat, und ermöglicht das erneute Verschlüsseln mit der neuesten Version.

Eine geplante Rotation dient der Sicherheitshygiene; die Notfallrotation ist für Sicherheitsvorfälle gedacht. Wenn ein Schlüssel bekanntermaßen oder vermutlich kompromittiert wurde, überspringen Sie die langsame Übergangsfrist und rotieren sofort – nötigenfalls unter Inkaufnahme einer kurzen Unterbrechung.

Vorbereitung macht diesen Vorgang überlebbar:

• Halten Sie für jeden Secret-Typ ein getestetes Runbook bereit.
• Ermitteln Sie im Voraus jeden Consumer jedes Secrets.
• Halten Sie die Automatisierung bereit, damit die Notfallrotation mit einem Befehl erledigt ist und nicht zu einem Rechercheprojekt wird.

Die Geschwindigkeit Ihrer Notfallrotation bestimmt direkt das Ausmaß eines Lecks.

Rotation behandelt bekannte Lecks; Erkennung findet unbekannte. Secret-Scanner durchsuchen Code, Verlauf, Logs und Artefakte nach Mustern von Zugangsdaten.

Scannen Sie auf mehreren Ebenen für Defense in Depth:

• Pre-Commit blockiert Secrets, bevor sie ins Repository gelangen.
• CI-Pipeline erkennt, was lokale Hooks umgangen hat.
• Repository-weit werden regelmäßig gründliche Scans des vollständigen Verlaufs durchgeführt.
• Plattformseitig erfolgt Secret Scanning durch GitHub/GitLab beim Push.

Tools wie gitleaks und trufflehog verwenden reguläre Ausdrücke und Entropieanalyse, um Zeichenketten mit hoher Zufälligkeit zu erkennen, die wie Schlüssel aussehen.

Scanner verwenden zwei sich ergänzende Techniken:

• Mustererkennung bekannter Präfixe und Formate, z. B. beginnen AWS-Schlüssel mit AKIA, Live-Schlüssel von Stripe mit sk_live_ und GitHub-Token mit ghp_.
• Entropieanalyse zur Messung der Zufälligkeit. Echte Secrets sind Zeichenketten mit hoher Entropie; ein langer, zufällig wirkender Wert ist auch ohne bekanntes Präfix verdächtig.

Muster sorgen für Präzision (wenige Fehlalarme), Entropie für Recall (erkennt unbekannte Formate). Gute Tools kombinieren beides und ermöglichen die Anpassung von Schwellenwerten und Allowlists, um das Grundrauschen zu kontrollieren.

Beim Scannen werden Secrets gefunden, wo sie nicht sein sollten. Ein Honeytoken (oder Canary-Token) erkennt, wenn ein Secret von einem Angreifer verwendet wird.

Sie platzieren ein realistisch aussehendes, aber gefälschtes Zugangsmittel – einen AWS-Schlüssel, ein API-Token oder eine Datenbankverbindung – an verlockenden Stellen wie einer Konfigurationsdatei oder einem öffentlichen Repository. Die Zugangsdaten erfüllen keinen nützlichen Zweck, aber jeder Nutzungsversuch löst einen Alarm aus.

Da legitime Systeme das Honeytoken nie verwenden, ist jeder Treffer ein Signal mit hoher Sicherheit für einen Eindringversuch – ein Frühwarnzeichen dafür, dass ein Angreifer Zugriff auf Ihren Secrets-Speicher oder Ihre Codebasis hat.

Über Honeytokens hinaus sollten Sie überwachen, wie echte Secrets verwendet werden. Audit-Logs aus Ihrem Vault und von Ihrem Cloud-Anbieter zeigen Missbrauchsmuster:

• Neue Geografie: Ein Schlüssel wird plötzlich aus einem unerwarteten Land verwendet.
• Zugriff außerhalb der Arbeitszeiten: Zugangsdaten werden um 3 Uhr morgens verwendet, obwohl keine Jobs laufen.
• Berechtigungen testen: Ein schreibgeschützter Schlüssel versucht, Schreibvorgänge oder Admin-Aufrufe auszuführen.
• Volumenspitzen: Ein plötzlicher Anstieg der API-Aufrufe.

Leiten Sie diese Logs mit Alarmierung an ein SIEM weiter. Erkennung plus schnelle Rotation ist die praktische Antwort auf Lecks, die Präventionsmaßnahmen umgehen.

Ein ausgereiftes Programm kombiniert proaktive Rotation mit kontinuierlicher Erkennung:

• Bevorzugen Sie kurzlebige dynamische Secrets, damit die Rotation automatisch und kontinuierlich erfolgt.
• Automatisieren Sie die geplante Rotation aller unvermeidbaren statischen Secrets.
• Verwenden Sie eine Überlappung zweier Schlüssel für eine Rotation von Signaturschlüsseln ohne Ausfallzeit.
• Scannen Sie überall: Pre-Commit, CI, Verlauf und Plattform.
• Setzen Sie Honeytokens ein und überwachen Sie Audit-Logs auf anomale Nutzung.
• Halten Sie Notfall-Runbooks bereit, damit ein bestätigtes Leck innerhalb von Minuten durch Rotation behoben werden kann.

Das Ziel: jedes Secret kurzlebig, jedes Leck erkennbar und jede Rotation schnell und routinemäßig machen.

Testen Sie Ihr Verständnis der Erkennungstechniken.

Sie haben gelernt, wie Sie Secrets aktuell halten und Lecks erkennen, die unentdeckt bleiben.

• Rotation begrenzt das Zeitfenster der Gefährdung und erfüllt Compliance-Anforderungen; eine sichere Rotation nutzt eine Überlappung zweier Schlüssel, um Ausfallzeiten zu vermeiden.
• Automatisieren Sie die Rotation über Cloud-Manager, Vault und KMS. Bevorzugen Sie kurzlebige dynamische Secrets, damit die Rotation kontinuierlich erfolgt.
• Bei der Rotation von Verschlüsselungsschlüsseln wird Envelope-Verschlüsselung verwendet, sodass Sie kleine Datenschlüssel neu verschlüsseln statt ganzer Datensätze.
• Die Notfallrotation hängt von Runbooks und der vorherigen Ermittlung jedes Consumers ab.
• Erkennung kombiniert Secret Scanning (Muster und Entropie), Honeytokens, die eine Nutzung sichtbar machen, sowie die Überwachung von Anomalien anhand von Audit-Logs und SIEM.
• Eine ausgereifte Strategie verbindet proaktive Rotation mit kontinuierlicher Erkennung, sodass Lecks nur kurz bestehen, sichtbar sind und schnell eingedämmt werden.

Damit ist der Kurs Secrets-Management und Schlüsselrotation abgeschlossen.