Credentials außerhalb der Kontrolle
Eine aktuelle Analyse von GitGuardian deckt ein erhebliches Sicherheitsrisiko auf: Auf Developer-Maschinen sammeln sich durchschnittlich 150 Secrets an – deutlich außerhalb der Systeme, die Security-Teams normalerweise überwachen.
Die Verteilung ist aussagekräftig: 38% sind Private Keys, die für kryptographische Operationen notwendig sind. Hinzu kommen 22% Cloud-, Identity-Provider- und Secret-Management-Credentials – etwa AWS IAM-Keys oder Hashicorp Vault-Tokens. Der Rest verteilt sich auf API-Keys, Database-Credentials und ähnliches.
Warum ist das kritisch?
Angreifer wissen längst, dass Developer-Maschinen goldgräberisch sind. Sie sind oft weniger streng gehärtet als Production-Systeme, dienen gleichzeitig aber als Gateway zu kritischen Infrastrukturen:
- Lateral Movement: Ein kompromittiertes Developer-Laptop kann zum Einstiegspunkt in die gesamte CI/CD-Pipeline werden
- Supply Chain Risk: Secrets auf Developer-Endpoints ermöglichen es, Dependencies oder interne Tools zu manipulieren
- Persistence: Ein Angreifer mit Private Keys kann sich dauerhaft Zugang zu Cloud-Infrastrukturen sichern
Das Scope-Problem
Diese Zahlen sind keine universelle Prognose für jede Machine – aber sie sind "direktional signifikant". Sie zeigen ein fundamentales Problem: Security-Teams haben keine Sichtbarkeit auf die Credential-Landschaft ihrer Developer.
Auf Production-Secrets achten viele Organisationen. Secret Scanning in Git-Repos ist etabliert. Aber Credentials, die lokal in Config-Dateien, Environment-Variablen oder sogar im Browser-Cache liegen? Da endet oft die Kontrolle.
Was tun?
Die Implikationen sind klar:
- Endpoint-Visibility: Wissen, welche Secrets wo lagern – etwa durch Endpoint Detection oder Agent-basierte Scanning-Tools
- Credential Rotation: Regelmäßige Rotation von Private Keys und API-Credentials auf Developer-Maschinen
- Principle of Least Privilege: Developer brauchen nicht alle Secrets lokal. Temporary Credentials oder Just-in-Time Access sind Alternativen
- Secure Enclaves: Nur notwendige Credentials auf der Maschine, der Rest über API-basierte Authentifizierung
Das ist kein theoretisches Risiko. Wenn Angreifer längst wissen, dass Secrets dort lagern – Security-Teams sollten es auch.