Es hora del enlace de tokens

Hola, amigos:

Los últimos meses han sido tiempos MUY emocionantes en el mundo de la identidad y los estándares de seguridad. Debido a los esfuerzos de un amplio conjunto de expertos en todo el sector, hemos logrado un progreso increíble al finalizar un amplio conjunto de estándares nuevos y perfeccionados que mejorarán la seguridad y las experiencias del usuario de una generación de dispositivos y servicios en la nube.

Una de estas mejoras más importantes es la familia de especificaciones del enlace de tokens, que está en pleno proceso de ratificación final en el Grupo de trabajo de ingeniería de Internet (IETF). (Para obtener más información sobre el enlace de tokens, no te pierdas esta excelente presentación de Brian Campbell).

En Microsoft, creemos que el enlace de tokens puede mejorar considerablemente la seguridad de los escenarios empresariales y de consumidores al permitir que la comprobación de la autenticación y la identidad de alto nivel sean accesibles de forma sencilla y generalizada para desarrolladores de todo el mundo.

Considerando lo positivo que creemos que puede ser este impacto, estamos profundamente comprometidos a trabajar con la comunidad para crear y adoptar la familia de especificaciones del enlace de tokens.

Ahora que las especificaciones avanzan hacia la ratificación, me gustaría realizar dos llamadas a la acción:

1. Empezad a experimentar con el enlace de tokens y a planear vuestras implementaciones.
2. Poneos en contacto con vuestros proveedores de exploradores y software, y pedidles que os envíen implementaciones de enlace de tokens (si aún no lo han hecho).

Además, me complace informar que Microsoft es solo una de las tantas voces del sector que afirman que el enlace de tokens es una solución importante cuyo momento ha llegado.

Para obtener más información sobre por qué es importante el enlace de tokens, le concederé la palabra a Pamela Dingle, una voz destacada del sector a quien muchos de vosotros ya conocéis, y que ahora es directora de Estándares de identidad de Microsoft en el equipo de Azure AD.

Atentamente,

Alex Simons (Twitter: @Alex_A_Simons)

Director de Administración de programas

División de Identidad de Microsoft

—————————————————————————————————————————–

Gracias, Alex, y hola a todos.

¡Comparto el entusiasmo de Alex! Han sido años de tiempo y esfuerzo para lograr las especificaciones que verás celebrarse como los nuevos estándares de RFC en un plazo muy corto. Es el momento ideal para que los arquitectos conozcan las ventajas de seguridad e identidad específicas que el enlace de tokens representa.

Puede que te preguntes por qué es tan bueno el enlace de tokens. El enlace de tokens hace que las cookies, los tokens de acceso de OAuth y los tokens de actualización, así como los tokens de id. de OpenID Connect, queden inservibles fuera del contexto de TLS específico del cliente donde se emitieron. Normalmente, dichos tokens son “tokens de portador”, lo que significa que quienquiera que tenga el token puede intercambiarlo por recursos, pero el enlace de tokens mejora este patrón al estratificar un mecanismo de confirmación para probar el material criptográfico recopilado durante la emisión del token frente al material criptográfico recopilado durante el uso del token. Solo el cliente indicado, mediante el canal de TLS especificado, pasará la prueba. Este proceso de forzar la entidad presentando el token para demostrar su valía se denomina “prueba de posesión”.

Resulta que las cookies y los tokens se pueden usar fuera del contexto de TLS original en toda clase de maneras malintencionadas. Podrían tratarse de cookies de sesiones secuestradas, tokens de acceso filtrados o MiTM sofisticado. Esta es la razón por la que el borrador del procedimiento recomendado actual de seguridad de OAuth2 de IETF recomienda el enlace de tokens y por la que recientemente duplicamos las recompensas de nuestro programa de primas de identidad. Al necesitar la prueba de posesión, hacemos que el uso oportunista o premeditado de las cookies o los tokens en formas que no estaban pensadas se vuelva difícil o costoso para los atacantes.

Como todo mecanismo de prueba de posesión, el enlace de tokens permite desarrollar una defensa exhaustiva. Podemos trabajar duro para nunca perder un token, pero también podemos comprobar que sea seguro. A diferencia de otros mecanismos de prueba de posesión, como los certificados de cliente, el enlace de tokens es independiente y transparente para el usuario, y la mayor parte del trabajo pesado lo hace la infraestructura. Esperamos que, en un momento dado, esto permita a cualquier persona operar una comprobación de identidad de alto nivel, pero esperamos ver una fuerte demanda de los sectores verticales gubernamentales y financieros desde el principio, ya que tienen requisitos reglamentarios inmediatos de prueba de posesión. Por ejemplo, cualquier persona que necesite la categorización de NIST 800-63C AAL3 necesita este tipo de tecnología.

El enlace de tokens representa un largo camino. Han sido tres años y, aunque la ratificación de las especificaciones es un hito emocionante, como ecosistema aún tenemos mucho por crear y, para que esta especificación tenga éxito, necesita funcionar para todos los proveedores y en todas las plataformas. Estamos muy entusiasmados porque, en los próximos meses, empezaremos a compartir detalladamente los beneficios de seguridad y los procedimientos recomendados que han surgido al haber adoptado esta función. Esperamos que os unáis a nosotros para promover esta tecnología donde sea necesario.

Saludos,

— Pam