{"id":1106,"date":"2018-08-21T09:00:59","date_gmt":"2018-08-21T16:00:59","guid":{"rendered":"https:\/\/www.microsoft.com\/it-it\/2018\/08\/21\/its-time-for-token-binding\/"},"modified":"2022-06-28T11:10:45","modified_gmt":"2022-06-28T18:10:45","slug":"its-time-for-token-binding","status":"publish","type":"post","link":"https:\/\/www.microsoft.com\/it-it\/microsoft-365\/blog\/2018\/08\/21\/its-time-for-token-binding\/","title":{"rendered":"\u00c8 tempo di binding di token"},"content":{"rendered":"
Salve a tutti,<\/p>\n
Gli ultimi mesi sono stati molto stimolanti per quanto riguarda gli standard di identit\u00e0 e di sicurezza. Grazie agli sforzi di molti esperti del settore, abbiamo fatto progressi incredibili nel finalizzare una vasta gamma di standard nuovi e migliorati che perfezioneranno sia la sicurezza che l’esperienza utente di una generazione di servizi e dispositivi cloud.<\/p>\n
Uno dei pi\u00f9 importanti miglioramenti \u00e8 rappresentato dalla famiglia di specifiche Binding di token, che sta per ottenere la ratifica finale dell\u2019Internet Engineering Task Force (IETF)<\/a> (per saperne di pi\u00f9 sul binding di token, guardate questa interessante presentazione<\/a> di Brian Campbell).<\/p>\n In Microsoft, crediamo che il binding di token possa migliorare notevolmente la sicurezza degli scenari aziendali e dei consumatori, rendendo la verifica dell\u2019elevata identit\u00e0 e dell\u2019autenticazione accessibile in modo semplice ed esteso agli sviluppatori di tutto il mondo.<\/p>\n Poich\u00e9 riteniamo che questo impatto possa essere molto positivo, ci impegniamo a lavorare costantemente con la community per la creazione e l’adozione della famiglia di specifiche binding di token.<\/p>\n Ora che le specifiche sono vicine alla ratifica, vorrei lanciare due appelli all’azione:<\/p>\n Sono felice di riferirvi che Microsoft \u00e8 solo una delle tante voci del settore<\/a> che afferma che il binding di token \u00e8 una soluzione importante che \u00e8 tempo di mettere in pratica.<\/p>\n Per saperne di pi\u00f9 sul motivo per cui il binding di token \u00e8 importante, passer\u00f2 la parola a Pamela Dingle, una voce leader del settore che molti di voi gi\u00e0 conoscono, ora Director of Identity Standards del team Azure AD di Microsoft.<\/p>\n Con i migliori saluti,<\/p>\n Alex Simons (Twitter: @Alex_A_Simons<\/a>)<\/p>\n Director di Program Management<\/p>\n Microsoft Identity Division<\/p>\n \u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2013<\/p>\n Grazie Alex e salve a tutti,<\/p>\n condivido l’entusiasmo di Alex! Alle specifiche che a breve vedrete proclamate come nuovi standard RFC sono stati dedicati molti anni e un grande impegno. \u00c8 il momento giusto per gli architetti per approfondire i vantaggi specifici di identit\u00e0 e sicurezza rappresentati dal binding di token.<\/p>\n Cosa c’\u00e8 di cos\u00ec eccezionale nel binding di token, ci si potrebbe chiedere? Il binding di token rende inutilizzabili i cookie, i token di accesso e i token di aggiornamento OAuth e i token OpenID Connect ID al di fuori del contesto TLS specifico del client in cui sono stati rilasciati. Normalmente questi token sono token “portanti”, nel senso che chi li possiede pu\u00f2 scambiarli con risorse, ma il binding di token migliora questo modello, attraverso la stratificazione in un meccanismo di conferma, per testare il materiale crittografico raccolto al momento dell’emissione del token con il materiale crittografico raccolto al momento dell’utilizzo del token. Solo il client giusto, utilizzando il canale TLS giusto, superer\u00e0 il test. Questo processo per il quale l’entit\u00e0 che presenta il token viene forzata a dimostrarne il possesso, si chiama “prova di possesso”.<\/p>\n Cookie e token possono essere utilizzati al di fuori del contesto TLS originale in modi dannosi di qualsiasi tipo. Si potrebbe trattare di cookie di sessione dirottati, di token di accesso trapelati o di MiTM sofisticati<\/a>. Questo \u00e8 il motivo per cui nella bozza IETF OAuth 2 Security Best Current Practice<\/a> viene suggerito il binding di token. Un altro motivo sta nel fatto che di recente abbiamo raddoppiato i premi del nostro programma bounty di identit\u00e0<\/a>. Richiedendo la prova del possesso, trasformiamo l’uso opportunistico o premeditato di cookie o token in modi diversi da quelli per cui sono stati concepiti in qualcosa di difficile e costoso per un utente malintenzionato.<\/p>\n Come ogni meccanismo di prova del possesso, il binding di token ci d\u00e0 la possibilit\u00e0 di difenderci in modo profondo. Possiamo lavorare sodo per non perdere mai un token, ma possiamo anche verificare semplicemente di essere protetti. A differenza di altri meccanismi di prova di possesso come i certificati client, il binding di token \u00e8 autonomo e trasparente per l’utente e la maggior parte delle attivit\u00e0 complesse vengono svolte dall’infrastruttura. Ci auguriamo che questo significhi che, alla fine, chiunque possa scegliere di operare ad un alto livello di garanzia di identit\u00e0, ma ci aspettiamo una forte domanda iniziale da parte del governo e dei vertici finanziari, in possesso di requisiti normativi immediati per eseguire la prova del possesso. Ad esempio, chiunque richieda la categorizzazione NIST 800-63C<\/a> AAL3 necessita di questo tipo di tecnologia.<\/p>\n Il binding di token rappresenta un percorso lungo. Ci lavoriamo da tre anni e, nonostante la ratifica delle specifiche sia un punto fermo, come ecosistema abbiamo ancora molto da costruire, e questa specifica deve funzionare tra fornitori e piattaforme per avere successo. Siamo molto entusiasti di condividere nei prossimi mesi i vantaggi e le migliori pratiche in termini di sicurezza scaturiti dall\u2019acquisizione di questa funzionalit\u00e0 e speriamo che vi unirete a noi nel sostenere questa tecnologia ovunque ne abbiate bisogno.<\/p>\n Grazie,<\/p>\n \u2014 Pam<\/p>\n","protected":false},"excerpt":{"rendered":" Salve a tutti, Gli ultimi mesi sono stati molto stimolanti per quanto riguarda gli standard di identit\u00e0 e di sicurezza. Grazie agli sforzi di molti esperti del settore, abbiamo fatto progressi incredibili nel finalizzare una vasta gamma di standard nuovi e migliorati che perfezioneranno sia la sicurezza che l’esperienza utente di una generazione di servizi<\/p>\n","protected":false},"author":0,"featured_media":1107,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"ep_exclude_from_search":false,"_classifai_error":"","footnotes":""},"content-type":[149],"product":[161,151],"audience":[196],"tags":[222],"coauthors":[],"class_list":["post-1106","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","content-type-news","product-enterprise-mobility-security","product-microsoft-365","audience-enterprise","tag-azure"],"yoast_head":"\n\n