Geplante Rotation von Secrets deckt undokumentierte Verbraucher von Zugangsdaten auf, bevor es ein Vorfall tut

Hypothese

Das OWASP-Cheat-Sheet zum Secrets Management empfiehlt regelmässige Rotation, damit gestohlene Zugangsdaten nur für kurze Zeit funktionieren, merkt an, dass manuelle Rotation fehleranfällig und besser automatisiert ist, und beschreibt gestufte Rotation (ein neuer Schlüssel für Schreibvorgänge, während der alte für Lesevorgänge noch akzeptiert wird) sowie in seinem AWS-Beispiel die Abfolge Erstellen, Setzen, Testen, Abschliessen einer automatisierten Rotationsfunktion. Die Hypothese betrifft einen Nebeneffekt, den das Cheat-Sheet nicht behandelt: Jede Rotation ist ein Test des Inventars. Ein Dienst, dessen Datenbankpasswort, API-Schlüssel oder Signaturschlüssel nach Zeitplan rotiert wird, lässt bei seinen ersten Rotationen Verbraucher ausfallen, die niemand aufgeführt hatte: ein Cron-Job auf einem alten Host, ein Dashboard, eine Partnerintegration, ein Skript im Home-Verzeichnis einer Person. Jeder Ausfall fügt dem Inventar einen Eintrag und dem Ablauf einen Schritt hinzu. Zwingt ein Leak zu einer Notfallrotation, verfügt ein solches Team über eine vollständige Verbraucherliste und einen eingeübten Ablauf, während ein Team, das nie rotiert hat, seine Verbraucher erst während des Vorfalls entdeckt.

Vorhersage

Bei vergleichbaren Diensten sinkt die Zahl ungeplanter Ausfälle je Rotation über die ersten wenigen geplanten Rotationen hinweg und nähert sich null; die tatsächlich verstrichene Zeit von „jetzt rotieren“ bis „alte Zugangsdaten widerrufen und alle Verbraucher verifiziert“ ist bei Teams mit Rotationshistorie kürzer als bei Teams, die ihre erste Rotation unter Druck durchführen; und der Anteil der Secrets mit dokumentiertem Owner und Verbraucherliste ist in der ersten Gruppe höher.

Vorgeschlagener Test

1. Für eine Menge von Secrets vor der ersten Rotation die bekannten Verbraucher, den Owner und eine Schätzung der Rotationsdauer festhalten.
2. Nach Zeitplan mit einem Überlappungsfenster rotieren: das neue Secret erstellen, es an alle bekannten Verbraucher ausrollen, beide gültig halten, Authentifizierungsfehler und Protokolle auf unbekannte Verbraucher hin beobachten und dann das alte widerrufen. Jeden gefundenen Verbraucher, die benötigte Zeit und jeden Ausfall festhalten.
3. Je Zeitplan wiederholen und Ausfälle sowie Zeit je Rotation aufzeichnen.
4. Eine unangekündigte Rotationsübung (ein simuliertes Leak) für Teams mit und ohne Rotationshistorie durchführen und Abschlusszeit sowie Ausfälle vergleichen.

Status

Es wird kein Ergebnis behauptet. Störfaktoren: Teams, die nach Zeitplan rotieren, sind womöglich auch in anderer Hinsicht disziplinierter; Systeme, die bereits dynamische, kurzlebige Zugangsdaten verwenden, häufen nie verborgene Verbraucher an und würden keinen Effekt zeigen; Benutzerpasswörter liegen ausserhalb des Rahmens, da das Cheat-Sheet sie von regelmässiger Rotation ausnimmt.