Credential vault: de digitale kluis voor wachtwoorden en sleutels
Een credential vault is te vergelijken met een kluis in een bank, maar dan voor digitale geheimen in plaats van sieraden of contracten. In die kluis liggen geen fysieke voorwerpen, maar wachtwoorden, API-sleutels (digitale toegangscodes waarmee computerprogramma's bij elkaar mogen aankloppen), certificaten en andere inloggegevens die bedrijven en overheden nodig hebben om systemen met elkaar te laten praten. In plaats van dat elke medewerker of elk programma zo'n geheim los ergens bewaart, staat alles verzameld in één streng beveiligde, versleutelde opslagplaats.
Stel je een groot ziekenhuis voor met honderden deuren die allemaal een andere sleutel nodig hebben: de serverkamer, het medicijnendepot, het patiëntendossiersysteem. Zonder centraal beheer zou iedereen zelf kopieën van sleutels bewaren, vaak op onveilige plekken zoals een la of een geplakt briefje. Een credential vault is de digitale variant van een centrale sleutelkluis met een streng logboek: wie een sleutel wil, moet zich eerst legitimeren, krijgt precies de sleutel die nodig is en niet meer, en elke afgifte wordt vastgelegd. Dat principe -- geheimen centraliseren, versleutelen en gecontroleerd uitgeven -- vormt de kern van wat in de it-beveiliging een credential vault heet.
Wat is het precies?
Technisch gezien is een credential vault gewoon software: een dienst die draait op een server of in de cloud. De werking bestaat uit een aantal stappen die op elkaar voortbouwen.
Ten eerste worden alle geheimen versleuteld opgeslagen, ook wel encryption at rest genoemd. Dat betekent dat zelfs iemand die de onderliggende harde schijf zou stelen, alleen onleesbare brokken data zou zien zonder de bijbehorende sleutel.
Ten tweede regelt de vault wie er bij welk geheim mag. Dit heet toegangscontrole: een medewerker, applicatie of server moet zich eerst identificeren -- bijvoorbeeld met een certificaat, een token uit een identiteitsdienst, of multifactorauthenticatie -- voordat de vault iets vrijgeeft. Daarbij geldt meestal het principe van de minste privileges: je krijgt alleen toegang tot precies de geheimen die je voor je taak nodig hebt, niet meer.
Ten derde houdt de vault een auditlog bij: een onwisbaar logboek van wie wanneer welk geheim heeft opgevraagd. Dat is cruciaal bij het onderzoeken van een beveiligingsincident.
Een geavanceerdere functie is het genereren van dynamische geheimen: in plaats van een vast wachtwoord voor een database te bewaren, maakt de vault op het moment zelf een tijdelijk wachtwoord aan dat na een paar uur automatisch verloopt. Zo hoeft niemand een langdurig geldig geheim te onthouden of te lekken, en wordt het venster waarin een gestolen wachtwoord bruikbaar is, drastisch verkleind. Veel vaults kunnen ook geheimen automatisch periodiek vervangen (rotatie), zodat een oud, mogelijk gelekt wachtwoord vanzelf zijn waarde verliest.
Wat wil men ermee bereiken?
De directe aanleiding voor credential vaults is een hardnekkig probleem in software-ontwikkeling: geheimen die los in code, configuratiebestanden of chatberichten belanden. Programmeurs zetten wachtwoorden soms rechtstreeks in broncode omdat dat sneller werkt, en die code belandt vervolgens per ongeluk op een publiek toegankelijke plek zoals GitHub. Dit fenomeen heet secret sprawl: geheimen die ongecontroleerd verspreid raken over tientallen systemen, bestanden en teams, zonder dat iemand nog overzicht heeft.
Een vault moet dat verspreiden tegengaan door één centrale, controleerbare plek te bieden. Daarmee wil men vooral drie dingen bereiken. Allereerst het beperken van schade bij een inbraak: als een aanvaller één systeem overneemt, moet die niet automatisch bij alle andere systemen kunnen, omdat de geheimen niet lokaal staan opgeslagen maar centraal en tijdelijk worden uitgegeven. Ten tweede compliance: wetten en normen zoals de Europese privacywetgeving (AVG) en betaalkaartstandaarden (PCI-DSS) eisen aantoonbare controle over wie bij gevoelige gegevens kan, en een auditlog helpt dat te bewijzen. Ten derde automatisering: moderne it-omgevingen draaien duizenden geautomatiseerde processen die zonder menselijke tussenkomst geheimen nodig hebben, en een vault maakt dat mogelijk zonder dat die geheimen permanent ergens blijven rondslingeren.
Voorbeelden uit de praktijk
Het Israëlische bedrijf CyberArk, opgericht in 1999 en sinds 2014 beursgenoteerd, geldt als een van de grondleggers van het vakgebied met zijn zogeheten Digital Vault, oorspronkelijk gericht op het beschermen van accounts met verregaande rechten (zogeheten privileged access management) bij banken en grote ondernemingen.
HashiCorp Vault, voor het eerst uitgebracht in 2015, bracht het idee naar de open-source-wereld en de cloud-native ontwikkelaarsgemeenschap. Het werd een de-factostandaard binnen DevOps-omgevingen, waar applicaties automatisch en op grote schaal geheimen nodig hebben.
De grote cloudaanbieders bouwden eigen varianten: Amazon lanceerde AWS Secrets Manager in 2018, Microsoft biedt Azure Key Vault en Google heeft Secret Manager, elk toegesneden op het eigen cloudplatform.
Toen HashiCorp in 2023 de licentie van Vault wijzigde naar een restrictievere Business Source License, ontstond er onvrede in de open-sourcegemeenschap. Dat leidde in 2024 tot een afsplitsing genaamd OpenBao, die als vrij te gebruiken open-sourceproject is ondergebracht bij de Linux Foundation -- een voorbeeld van hoe licentiekeuzes van een enkel bedrijf grote gevolgen kunnen hebben voor een heel ecosysteem.
Een waarschuwend praktijkvoorbeeld is de inbraak bij taxi- en bezorgdienst Uber in september 2022. Een aanvaller kreeg via social engineering toegang tot een medewerkersaccount en vond vervolgens een script met daarin hardcoded (rechtstreeks in de code geschreven) beheerderswachtwoorden voor het interne privileged-access-managementsysteem. Daarmee kon de aanvaller doorstoten naar tal van andere interne systemen. Het incident illustreert precies het probleem dat credential vaults moeten voorkomen: een los rondslingerend geheim dat, eenmaal gevonden, toegang geeft tot veel meer dan bedoeld.
Hoe ver is de techniek?
Credential vaults zijn geen nieuwe of experimentele technologie meer; het zijn volwassen producten die in grote delen van het bedrijfsleven, bij overheden en in de financiële sector standaard onderdeel zijn van de it-infrastructuur. De basisfunctionaliteit -- versleutelde opslag, toegangscontrole, auditlogs -- is breed beschikbaar en betrouwbaar.
De ontwikkeling zit vooral in de verfijning. Een duidelijke trend is de verschuiving van statische naar dynamische en kortlevende geheimen, en zelfs naar benaderingen die helemaal geen permanent wachtwoord meer gebruiken (soms "secretless" genoemd): systemen identificeren zich dan met een kortstondig, automatisch vernieuwd certificaat in plaats van een wachtwoord dat gestolen kan worden. Een verwante ontwikkeling is "zero standing privileges": niemand en niets heeft standaard blijvende toegangsrechten, die worden alleen tijdelijk en op aanvraag verleend (just-in-time access).
De grootste obstakels zijn niet technisch maar organisatorisch. Veel oudere systemen (legacy-software) zijn niet gebouwd om met een vault te praten en blijven daarom met hardcoded wachtwoorden werken. Het invoeren van een vault in een grote, complexe organisatie kost tijd, want elk systeem en elk team moet worden omgebouwd. Bovendien wordt de vault zelf een aantrekkelijk doelwit: als een aanvaller de kluis zelf kraakt, heeft die in één klap toegang tot alle geheimen die erin zitten, wat vaults tot kritieke, zwaar te beveiligen infrastructuur maakt. Onderzoekers en leveranciers zijn het erover eens dat menselijke fouten -- een verkeerd geconfigureerde toegangsregel, een vergeten testomgeving met een vault vol standaardwachtwoorden -- nog altijd de meest voorkomende oorzaak van incidenten zijn, ondanks alle technologische vooruitgang.
Wie werken eraan?
Het veld wordt gedomineerd door een mix van gespecialiseerde beveiligingsbedrijven en de grote cloudplatformen. CyberArk blijft een van de belangrijkste spelers voor privileged access management. HashiCorp, de maker van Vault, werd in 2024 overgenomen door IBM voor ongeveer 6,4 miljard dollar, een overname die naar verwachting in 2025 werd afgerond en die aangeeft hoe strategisch belangrijk dit soort infrastructuur inmiddels wordt gevonden. Andere gespecialiseerde leveranciers zijn Delinea (ontstaan uit een fusie van Thycotic en Centrify), BeyondTrust en het Israëlische Akeyless. Op consumenten- en teamniveau breidt ook 1Password zijn aanbod uit naar ontwikkelaarsgerichte geheimenopslag.
Daarnaast spelen de grote cloudaanbieders Amazon, Microsoft en Google een sleutelrol, omdat hun ingebouwde vaults vaak de eerste kennismaking van ontwikkelaars met het concept zijn. Op het gebied van open source is de Linux Foundation belangrijk als beheerder van gemeenschapsprojecten zoals OpenBao. Standaarden en richtlijnen komen van organisaties als het Amerikaanse NIST en de vrijwilligersgemeenschap OWASP, die praktische checklists publiceert voor ontwikkelaars. In Europa houdt het EU-cyberbeveiligingsagentschap ENISA zich bezig met bredere richtlijnen rond toegangsbeheer, al is credential-vaulttechnologie zelf voornamelijk marktgedreven ontwikkeld door de genoemde bedrijven.