Olá a todos.
Nos últimos meses, tivemos momentos BEM entusiasmantes no que diz respeito a normas de identidade e segurança. Graças aos esforços de vários especialistas do setor, fizemos progressos incríveis na finalização de um vasto conjunto de normas novas e melhoradas, que vão enriquecer as experiências de segurança e de utilizador de uma geração de dispositivos e serviços na nuvem.
Uma das melhorias mais importantes é a família de especificações de Token Binding (Vínculos de Tokens), que já se encontra muito próxima da respetiva ratificação final na Internet Engineering Task Force (IETF). (Se quiser saber mais sobre vínculos de tokens, veja esta fantástica apresentação feita por Brian Campbell.)
Na Microsoft, acreditamos que os Vínculos de Tokens podem aumentar substancialmente a segurança em cenários empresariais e de consumidor, ao disponibilizar a garantia de autenticação e de identidade elevada de forma ampla e simples para programadores em todo o mundo.
Como acreditamos que esta melhoria terá um impacto bastante positivo, temos estado e continuaremos a estar profundamente empenhados em trabalhar com a comunidade na criação e adoção da família de especificações de vínculos de tokens.
Agora que as especificações estão próximas da ratificação, gostaria de o encorajar a realizar as duas ações seguintes:
- Começar a experimentar os vínculos de tokens e a planear as suas implementações.
- Contactar os seus fabricantes de browsers e de software e pedir-lhes que forneçam as implementações de vínculos de tokens em breve, caso ainda não o tenham feito.
Para além disso, é com prazer que anuncio que a Microsoft é apenas uma das várias vozes do setor que afirmam que os vínculos de tokens são uma solução importante e que chegou o momento de os utilizar.
Para obter mais informações sobre a importância dos vínculos de tokens, vou passar a palavra à Pamela Dingle (uma figura líder no setor que muitos dos utilizadores já conhecem), a atual Diretora de Normas de Identidade da Microsoft na equipa do Azure AD.
Melhores cumprimentos,
Alex Simons (Twitter: @Alex_A_Simons)
Diretor de Gestão de Programas
Divisão da Microsoft Identity
—————————————————————————————————————————–
Obrigado Alex e olá a todos.
Partilho o entusiasmo do Alex! Muito em breve, o tempo e a dedicação que foram investidos nas especificações durante anos será traduzida na forma de novas normas RFC. Este é o momento certo para os arquitetos poderem explorar as vantagens específicas para identidades e segurança que os Vínculos de Tokens representam.
Está a questionar-se sobre o que os vínculos de tokens têm de tão especial? Os vínculos de tokens tornam os cookies, tokens de atualização e tokens de acesso OAuth, e os Tokens de ID do OpenID Connect inutilizáveis fora do contexto TLS específico do cliente no qual foram emitidos. Normalmente, este tipo de tokens são tokens de “portador”, o que significa que quem possui o token pode trocá-lo por recursos. No entanto, os vínculos de tokens são melhorados com base nesta norma, sendo dispostos em camadas num mecanismo de confirmação para testar o material criptográfico recolhido no momento de emissão dos tokens comparativamente ao que foi recolhido no momento de utilização dos tokens. Apenas o cliente com o canal TLS correto irá passar no teste. Este processo de forçar a entidade que apresenta o token a comprovar a respetiva identidade é denominado “prova de posse”.
Reparámos que os cookies e tokens podem ser utilizados fora do contexto TLS original de várias formas mal intencionadas. Estes tipos de utilização podem ocorrer através do controlo de cookies de sessão sem autorização, de uma fuga de tokens de acesso ou de um ataque “man-in-the-middle” (MiTM) sofisticado. É por este motivo que o projeto IETF OAuth 2 Security Best Current Practice recomenda os vínculos de tokens e o motivo pelo qual duplicámos recentemente as recompensas no nosso programa de recompensas de identidades. Ao exigir uma prova de posse, conseguimos fazer com que seja mais difícil ou dispendioso para um atacante utilizar cookies ou tokens para fins aos quais não estão destinados de forma oportunista ou premeditada.
Como qualquer mecanismo de prova de posse, os vínculos de tokens dão-nos a capacidade de criar defesas a todos os níveis. Podemos esforçar-nos para nunca perder um token, mas também podemos verificá-lo apenas para jogar pelo seguro. Ao contrário de outros mecanismos de prova de posse tais como certificados de cliente, os vínculos de tokens são autónomos e transparentes para o utilizador e a maioria das tarefas mais complexas é efetuada pela infraestrutura. Esperamos que isto eventualmente signifique que qualquer pessoa pode optar por operar segundo uma garantia de identidade de alto nível. No entanto, prevemos uma forte procura inicial por parte de segmentos governamentais e financeiros, dado que estes têm requisitos de regulamentação imediatos que podem utilizar para efeitos de prova de posse. A título de exemplo, qualquer pessoa que exija uma norma de categoria NIST 800-63C AAL3 necessita deste tipo de tecnologia.
Os vínculos de tokens representam um longo caminho. Decorreram três anos desde que entrámos neste percurso e, embora a ratificação das especificações seja um marco entusiasmante, enquanto ecossistema ainda temos muitas coisas em que trabalhar e é necessário que esta especificação funcione entre vários fabricantes e plataformas para que tenha êxito. Estamos muito entusiasmados por começarmos a partilhar em detalhe, durante os próximos meses, os benefícios de segurança e as melhores práticas que surgiram da adoção desta funcionalidade e esperamos que se junte a nós para promover a implementação desta tecnologia onde quer que precise da mesma.
Cumprimentos,
– Pam