Rotacja kluczy i wykrywanie wycieków

Rotacja kluczy to praktyka okresowego zastępowania sekretu nowym i wycofywania starego. Nawet doskonale przechowywany klucz zyskuje na rotacji:

• Ogranicza czas narażenia — jeśli klucz wyciekł po cichu, rotacja go unieważni.
• Ogranicza zużycie kryptograficzne — mniej danych jest szyfrowanych jednym kluczem.
• Spełnia wymogi zgodności — standardy takie jak PCI DSS wymagają okresowej rotacji.
• Usuwa dostęp osób, które odeszły — poświadczenia, do których miał dostęp były pracownik, stają się bezużyteczne.

Najważniejsza idea jest prosta: im częściej sekret się zmienia, tym mniejszą wartość ma dla atakującego. Rotacja zmienia wyciek z trwałego problemu w problem tymczasowy.

Naiwna rotacja — usunięcie starego klucza i utworzenie nowego — powoduje awarie, ponieważ konsumenci nadal posiadający stary klucz natychmiast przestają działać. Bezpieczna rotacja wykorzystuje nakładające się okresy ważności:

• 1. Wygeneruj nowy klucz obok istniejącego.
• 2. Rozdystrybuuj nowy klucz do wszystkich odbiorców.
• 3. Aktywuj nowy klucz na potrzeby nowych operacji.
• 4. Okres karencji — oba klucze pozostają ważne, aż odbiorcy przełączą się na nowy.
• 5. Wycofaj stary klucz, unieważniając go, gdy nic już z niego nie korzysta.

To nakładanie się dwóch kluczy stanowi podstawę rotacji bez przestojów.

Aby przeprowadzić rotację bez zakłócania ruchu, usługi muszą w okresie karencji akceptować zarówno stary, jak i nowy klucz. Weryfikator sprawdza przychodzący token względem dowolnego aktualnie ważnego klucza.

W przypadku kluczy podpisujących należy opublikować wiele kluczy publicznych i wskazać w nagłówku za pomocą identyfikatora klucza (kid), który z nich posłużył do podpisania tokenu. Odbiorcy automatycznie wybierają pasujący klucz.

Dopiero gdy telemetria potwierdzi brak ruchu ze starym kluczem, można go wycofać.

Ręczna rotacja jest rzadka, podatna na błędy i pomijana pod presją. Należy ją zautomatyzować. Platformy chmurowe i platformy do zarządzania sekretami mogą przeprowadzać rotację zgodnie z harmonogramem, bez udziału człowieka:

• AWS Secrets Manager uruchamia funkcję Lambda rotacji, która tworzy nowe poświadczenie, testuje je i wdraża.
• HashiCorp Vault rotuje poświadczenia root i wydaje krótkotrwałe dynamiczne sekrety, dzięki czemu rotacja jest ciągła.
• Cloud KMS może automatycznie rotować klucze szyfrowania w ustalonych odstępach czasu.

Automatyczna rotacja jest także najbardziej niezawodną reakcją na podejrzenie wycieku: wystarczy jedno polecenie lub harmonogram, aby zastosować ją wszędzie.

Rotacja hasła jest prosta: należy wydać nowe i zaktualizować odbiorców. Rotacja klucza szyfrowania jest trudniejsza, ponieważ stare dane zostały zaszyfrowane starym kluczem.

Standardowym rozwiązaniem jest szyfrowanie kopertowe: dane są szyfrowane przy użyciu przypisanego do obiektu klucza danych, a ten klucz jest szyfrowany głównym kluczem szyfrowania kluczy (KEK). Aby przeprowadzić rotację, wystarczy ponownie zaszyfrować nowym KEK małe klucze danych, a nie cały zbiór danych.

Silnik Transit w Vault obsługuje to za pomocą kluczy z wersjami: śledzi, która wersja zaszyfrowała dany szyfrogram, i umożliwia jego ponowne opakowanie z użyciem najnowszej wersji.

Rotacja zaplanowana służy utrzymaniu higieny bezpieczeństwa, a rotacja awaryjna — reagowaniu na naruszenia. Gdy wiadomo lub podejrzewa się, że klucz został przejęty, należy pominąć powolny okres karencji i natychmiast przeprowadzić rotację, akceptując w razie potrzeby krótkotrwałe zakłócenia.

Przygotowanie pozwala przetrwać taką sytuację:

• Należy utrzymywać przetestowany runbook rotacji dla każdego typu sekretu.
• Należy z wyprzedzeniem znać każdego odbiorcę każdego sekretu.
• Automatyzacja musi być gotowa, aby rotacja awaryjna wymagała jednego polecenia, a nie prowadzenia długiego rozpoznania.

Szybkość rotacji awaryjnej bezpośrednio decyduje o skali naruszenia.

Rotacja obsługuje znane wycieki, a wykrywanie pozwala znaleźć nieznane. Skanery sekretów przeszukują kod, historię, logi i artefakty w poszukiwaniu wzorców danych uwierzytelniających.

Dla ochrony warstwowej należy skanować na wielu poziomach:

• Pre-commit — blokowanie sekretów, zanim trafią do repozytorium.
• Potok CI — wykrywanie tego, co ominęło lokalne hooki.
• Całe repozytorium — okresowe, dokładne skanowanie pełnej historii.
• Po stronie platformy — skanowanie sekretów GitHub/GitLab podczas pushowania.

Narzędzia takie jak gitleaks i trufflehog używają wyrażeń regularnych oraz analizy entropii, aby wykrywać ciągi o wysokiej losowości, które wyglądają jak klucze.

Skanery wykorzystują dwie uzupełniające się techniki:

• Dopasowywanie wzorców — rozpoznawanie znanych prefiksów i formatów, np. klucze AWS zaczynają się od AKIA, klucze produkcyjne Stripe od sk_live_, a tokeny GitHub od ghp_.
• Analiza entropii — pomiar losowości. Prawdziwe sekrety to ciągi o wysokiej entropii, więc długa wartość wyglądająca na losową jest podejrzana nawet bez znanego prefiksu.

Wzorce zapewniają precyzję (niewiele fałszywych alarmów), a entropia — czułość (wykrywa nieznane formaty). Dobre narzędzia łączą obie techniki i pozwalają dostrajać progi oraz listy dozwolonych wartości w celu ograniczenia szumu.

Skanowanie wykrywa sekrety tam, gdzie nie powinno ich być. Honeytoken (lub token kanarkowy) wykrywa, gdy sekret zostanie użyty przez atakującego.

W kuszących miejscach, takich jak plik konfiguracyjny lub publiczne repozytorium, umieszcza się wiarygodnie wyglądające, ale fałszywe poświadczenie — klucz AWS, token API lub dane połączenia z bazą danych. Takie poświadczenie nie daje żadnego użytecznego dostępu, ale każda próba jego użycia wywołuje alert.

Ponieważ legalne systemy nigdy nie korzystają z honeytokenu, każde jego wykrycie jest wiarygodnym sygnałem włamania — wczesnym ostrzeżeniem, że atakujący uzyskał dostęp do magazynu sekretów lub bazy kodu.

Oprócz honeytokenów należy monitorować sposób używania rzeczywistych sekretów. Dzienniki audytowe z magazynu sekretów i dostawcy chmurowego ujawniają wzorce nadużyć:

• Nowa lokalizacja geograficzna — klucz nagle używany z nieoczekiwanego kraju.
• Dostęp poza godzinami pracy — poświadczenia używane o 3:00, gdy nie są uruchamiane żadne zadania.
• Sondowanie uprawnień — klucz tylko do odczytu próbuje wykonywać operacje zapisu lub wywołania administracyjne.
• Skoki wolumenu — nagły wzrost liczby wywołań API.

Logi te należy przesyłać do systemu SIEM z mechanizmem alertów. Wykrywanie w połączeniu z szybką rotacją to praktyczna odpowiedź na wycieki, które ominęły zabezpieczenia prewencyjne.

Dojrzały program łączy proaktywną rotację z ciągłym wykrywaniem:

• Należy preferować krótkotrwałe dynamiczne sekrety, aby rotacja była automatyczna i ciągła.
• Należy automatyzować zaplanowaną rotację wszystkich nieuniknionych sekretów statycznych.
• Należy stosować współistnienie dwóch kluczy podczas rotacji kluczy podpisujących bez przestojów.
• Należy skanować wszędzie — podczas pre-commit, w CI, w historii i na platformie.
• Należy wdrażać honeytokeny i monitorować dzienniki audytowe pod kątem anomalii użycia.
• Należy utrzymywać awaryjne runbooki, aby potwierdzony wyciek można było obsłużyć w ciągu kilku minut.

Cel jest następujący: każdy sekret ma być krótkotrwały, każdy wyciek wykrywalny, a każda rotacja szybka i rutynowa.

Proszę sprawdzić swoje zrozumienie technik wykrywania.

W tej lekcji poznano sposoby utrzymywania aktualności sekretów i wykrywania wycieków, które ominęły zabezpieczenia.

• Rotacja ogranicza czas ekspozycji i pomaga spełniać wymagania zgodności; bezpieczna rotacja wykorzystuje współistnienie dwóch kluczy, aby uniknąć przestojów.
• Należy automatyzować rotację za pomocą menedżerów chmurowych, Vault i KMS oraz preferować krótkotrwałe dynamiczne sekrety, aby rotacja była ciągła.
• Rotacja kluczy szyfrowania wykorzystuje szyfrowanie kopertowe, dzięki czemu ponownie opakowuje się małe klucze danych, a nie całe zbiory danych.
• Rotacja awaryjna zależy od runbooków i wcześniejszej znajomości każdego odbiorcy sekretu.
• Wykrywanie łączy skanowanie sekretów (wzorce i entropia), honeytokeny ujawniające użycie oraz monitorowanie anomalii za pomocą dzienników audytowych i systemu SIEM.
• Dojrzała strategia łączy proaktywną rotację z ciągłym wykrywaniem, dzięki czemu wycieki są krótkotrwałe, widoczne i szybko opanowywane.

To kończy kurs Zarządzanie sekretami i rotacja kluczy.