s3-waf: create a SECRETS subsystem