Secret
Auch bekannt als:Secret
Secret: Sensibles Authentisierungsmaterial wie Passwort, Token, API-Schlüssel oder privater Schlüssel. Sichere Nutzung erfordert klare Grenzen, korrekte Konfiguration, ÜberwachungMonitoringKontinuierliche Beobachtung von Systemen, Identitäten, Netzen und Kontrollen auf relevante Veränderungen. und einen kontrollierten Lebenszyklus.
Funktionsweise und Einordnung
Bei Secret werden Subjekt, digitale Identität, Anmeldemittel und Berechtigungsentscheidung voneinander getrennt betrachtet. Authentisierung beantwortet, wer oder was eine Identität nachweist; Autorisierung bestimmt anschließend, welche Handlung im konkreten Kontext erlaubt ist. Sitzungszustand, Gerätevertrauen und die Herkunft einer Anfrage können diese Entscheidung zusätzlich beeinflussen.
Bedeutung in der Praxis
Wirksame Umsetzung benötigt einen kontrollierten Identitätslebenszyklus vom Anlegen über Rollen- und Rechteänderungen bis zur Sperrung. Besonders relevant sind starke Anmeldeverfahren, minimale Rechte, regelmäßige Rezertifizierung und nachvollziehbare Protokolle. Schutzmaßnahmen müssen zudem Missbrauch legitimer Konten erkennen, denn korrekte Zugangsdaten bedeuten nicht automatisch, dass eine Handlung legitim ist.
Verwandte Begriffe
- SchlüsselverwaltungssystemKey Management SystemErzeugt, speichert, rotiert und kontrolliert kryptografische Schlüssel.: Erzeugt, speichert, rotiert und kontrolliert kryptografische Schlüssel.
- Sicherheit von VersionsverwaltungVersion Control SecuritySchutz von Repositories, Branches, Secrets, Zugriffsrechten und Entwicklungsabläufen.: Schutz von Repositories, Branches, Secrets, Zugriffsrechten und Entwicklungsabläufen.
- Zugangsdaten-Recycling-AngriffCredential StuffingAutomatisierte Anmeldung mit gestohlenen Benutzername-Passwort-Kombinationen aus anderen Diensten.: Automatisierte Anmeldung mit gestohlenen Benutzername-Passwort-Kombinationen aus anderen Diensten.
- MaschinenidentitätMachine IdentityDigitale Identität eines Dienstes, Geräts, Workloads oder automatisierten Prozesses.: Digitale Identität eines Dienstes, Geräts, Workloads oder automatisierten Prozesses.