Es hora del enlace de tokens
Hola, amigos:
Los últimos meses han sido tiempos muy emocionantes en el mundo de la identidad y los estándares de seguridad. Debido a los esfuerzos de un amplio conjunto de expertos en todo el sector, logramos un progreso increíble finalizando un amplio conjunto de estándares nuevos y perfeccionados que mejorarán la seguridad y las experiencias del usuario en una generación de dispositivos y servicios en la nube.
Una de estas mejoras más importantes es la familia de especificaciones del enlace de tokens que está en pleno proceso de ratificación final en el Grupo de trabajo de ingeniería de Internet (IETF). (Si deseas obtener más información sobre el enlace de tokens, ve esta excelente presentación de Brian Campbell).
En Microsoft, creemos que en enlace de tokens puede mejorar considerablemente la seguridad de los escenarios empresariales y de consumidores haciendo que la comprobación de la autenticación y la identidad de alto nivel estén amplia y sencillamente accesibles para los desarrolladores de todo el mundo.
Considerando lo positivo que creemos que puede ser este impacto, estamos profundamente comprometidos en el trabajo con la comunidad para crear y adoptar la familia de especificaciones del enlace de tokens.
Ahora que las especificaciones avanzan hacia la ratificación, me gustaría hacer dos llamados a la acción:
- Empiecen a experimentar con el enlace de tokens y a planear sus implementaciones.
- Pónganse en contacto con sus proveedores de navegador y software, y pídanles que les envíen pronto implementaciones de enlace de tokens si aún no lo han hecho.
Y me complace informarles que Microsoft es solo una de las tantas voces en el sector que afirman que el enlace de tokens es una solución importante y oportuna.
Para descubrir más sobre por qué el enlace de tokens es importante, le daré la palabra a Pamela Dingle, una voz destacada del sector a quien muchos de ustedes ya conocen, y que ahora es Directora de Normas de identidad de Microsoft en el equipo de Azure AD.
Atentamente,
Alex Simons (Twitter: @Alex_A_Simons)
Director de Administración de programas
División de Identidad de Microsoft
—————————————————————————————————————————–
Gracias, Alex y hola a todos.
¡Comparto el entusiasmo de Alex! Han sido años de tiempo y esfuerzo para lograr las especificaciones que verán celebrarse como las nuevas normas de RFC en un plazo muy corto. El momento es ideal para que los arquitectos indaguen sobre las ventajas de seguridad e identidad específicas que el enlace de tokens representa.
Tal vez se pregunten por qué es tan genial el enlace de tokens. El enlace de tokens hace que las cookies, los tokens de acceso de OAuth y los tokens de actualización, así como los tokens de id. de OpenID Connect, se vuelvan inutilizables fuera del contexto de TLS específico del cliente donde se emitieron. Normalmente, dichos tokens son “tokens de portador”, lo que significa que quienquiera que tenga el token puede intercambiarlo por recursos, pero el enlace de tokens mejora este patrón al estratificar un mecanismo de confirmación para probar el material criptográfico recopilado durante la emisión del token frente al material criptográfico recopilado durante el uso del token. Solo el cliente indicado, mediante el canal de TLS indicado, pasará la prueba. Este proceso de forzar la entidad presentando el token para demostrar su valía, se denomina “prueba de posesión”.
Resulta que las cookies y los tokens se pueden usar fuera del contexto de TLS original en toda clase de maneras malintencionadas. Podrían tratarse de cookies de sesiones secuestradas, tokens de acceso filtrados o MiTM sofisticado. Esta es la razón por la que el borrador del procedimiento recomendado actual de seguridad de OAuth 2 de IETF recomienda el enlace de tokens y por la que recientemente duplicamos las recompensas de nuestro programa de primas de identidad. Al requerir la prueba de posesión, hacemos que el uso oportunista o premeditado de las cookies o los tokens en formas que no estaban pensadas se vuelva difícil o costoso para los atacantes.
Como todo mecanismo de prueba de posesión, el enlace de tokens nos concede la capacidad de desarrollar defensa a fondo. Podemos trabajar arduamente para nunca perder un token, pero también podemos comprobar que sea seguro. A diferencia de otros mecanismos de prueba de posesión como los certificados de cliente, el enlace de tokens es autónomo y transparente para el usuario, y la mayor parte del trabajo pesado lo hace la infraestructura. Esperamos que en un momento dado esto signifique que cualquier persona puede optar por operar una comprobación de identidad de alto nivel, pero esperamos ver una fuerte demanda de los sectores gubernamentales y financieros desde el principio, ya que tienen requisitos reglamentarios inmediatos de prueba de posesión. Como ejemplo, cualquier persona que requiera la categorización de NIST 800-63C AAL3 necesita este tipo de tecnología.
El enlace de tokens representa un largo camino. Han sido tres años y, si bien la ratificación de las especificaciones es un hito emocionante, como ecosistema aún tenemos mucho por crear y esta especificación necesita funcionar para todos los proveedores y en todas las plataformas para que tenga éxito. Estamos muy entusiasmados por que en los próximos meses empezaremos a compartir detalladamente los beneficios de seguridad y los procedimientos recomendados que han surgido por haber adoptado esta funcionalidad. Esperamos que participen con nosotros para promover esta tecnología donde sea necesario.
Saludos,
— Pam
