盗まれた資格情報が関与するすべての侵害は、同じ根本原因を持つ：その資格情報は、どこかで平文の状態で長く存在し、発見される機会があったということだ。データベース内、環境変数内、ログファイル内、メモリダンプ内。露出の期間はミリ秒から数ヶ月まで様々だが、重要なのはその文字列が存在し、誰かがそれを発見したということだ。 標準的な対応策は、より優れたシークレット管理である：バウルトソリューション、ローテーションポリシー、最小権限アクセス、暗号化されたストレージ。これらすべては露出期間を短縮するが、完全に排除することはできない。資格情報は依然として、適切なタイミングで適切なシステムが侵害された場合に抽出可能な形で存在する。 RialoのREXモデルは、この問題に対して異なるアプローチを取っている。認証資格情報は送信前に暗号化される。プライベート実行環境内で、それらは一度だけ復号され、目的の呼び出しに使用された後、メモリから即座に消去される。平文は公開台帳に現れることはない。バリデーターでさえ、実行環境が動作している間はその内容にアクセスできない。 これはシークレット管理の微細な改善ではない。それは異なる脅威モデルである。@RialoHQは、保存された資格情報を盗まれないように保護しようとしているのではなく、保存された資格情報そのものを排除している。存在しないものを盗むことはできない。センシティブな認証データに対する「一度だけ使用して破壊」するパターンは、Web2セキュリティが何十年にもわたりキー管理サービスやハードウェアセキュリティモジュールで模索してきたものだ。Rialoは実行レイヤーでこれをネイティブに実装している。