{"id":1094,"date":"2018-08-21T09:00:59","date_gmt":"2018-08-21T16:00:59","guid":{"rendered":"https:\/\/www.microsoft.com\/pt-pt\/2018\/08\/21\/its-time-for-token-binding\/"},"modified":"2022-06-28T11:21:09","modified_gmt":"2022-06-28T18:21:09","slug":"its-time-for-token-binding","status":"publish","type":"post","link":"https:\/\/www.microsoft.com\/pt-pt\/microsoft-365\/blog\/2018\/08\/21\/its-time-for-token-binding\/","title":{"rendered":"\u00c9 altura de criar v\u00ednculos de tokens"},"content":{"rendered":"
Ol\u00e1 a todos.<\/p>\n
Nos \u00faltimos meses, tivemos momentos BEM entusiasmantes no que diz respeito a normas de identidade e seguran\u00e7a. Gra\u00e7as aos esfor\u00e7os de v\u00e1rios especialistas do setor, fizemos progressos incr\u00edveis na finaliza\u00e7\u00e3o de um vasto conjunto de normas novas e melhoradas, que v\u00e3o enriquecer as experi\u00eancias de seguran\u00e7a e de utilizador de uma gera\u00e7\u00e3o de dispositivos e servi\u00e7os na nuvem.<\/p>\n
Uma das melhorias mais importantes \u00e9 a fam\u00edlia de especifica\u00e7\u00f5es de Token Binding (V\u00ednculos de Tokens), que j\u00e1 se encontra muito pr\u00f3xima da respetiva ratifica\u00e7\u00e3o final na Internet Engineering Task Force (IETF)<\/a>. (Se quiser saber mais sobre v\u00ednculos de tokens, veja esta fant\u00e1stica apresenta\u00e7\u00e3o<\/a> feita por Brian Campbell.)<\/p>\n Na Microsoft, acreditamos que os V\u00ednculos de Tokens podem aumentar substancialmente a seguran\u00e7a em cen\u00e1rios empresariais e de consumidor, ao disponibilizar a garantia de autentica\u00e7\u00e3o e de identidade elevada de forma ampla e simples para programadores em todo o mundo.<\/p>\n Como acreditamos que esta melhoria ter\u00e1 um impacto bastante positivo, temos estado e continuaremos a estar profundamente empenhados em trabalhar com a comunidade na cria\u00e7\u00e3o e ado\u00e7\u00e3o da fam\u00edlia de especifica\u00e7\u00f5es de v\u00ednculos de tokens.<\/p>\n Agora que as especifica\u00e7\u00f5es est\u00e3o pr\u00f3ximas da ratifica\u00e7\u00e3o, gostaria de o encorajar a realizar as duas a\u00e7\u00f5es seguintes:<\/p>\n Para al\u00e9m disso, \u00e9 com prazer que anuncio que a Microsoft \u00e9 apenas uma das v\u00e1rias vozes do setor<\/a> que afirmam que os v\u00ednculos de tokens s\u00e3o uma solu\u00e7\u00e3o importante e que chegou o momento de os utilizar.<\/p>\n Para obter mais informa\u00e7\u00f5es sobre a import\u00e2ncia dos v\u00ednculos de tokens, vou passar a palavra \u00e0 Pamela Dingle (uma figura l\u00edder no setor que muitos dos utilizadores j\u00e1 conhecem), a atual Diretora de Normas de Identidade da Microsoft na equipa do Azure AD.<\/p>\n Melhores cumprimentos,<\/p>\n Alex Simons (Twitter: @Alex_A_Simons<\/a>)<\/p>\n Diretor de Gest\u00e3o de Programas<\/p>\n Divis\u00e3o da Microsoft Identity<\/p>\n \u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2013<\/p>\n Obrigado Alex e ol\u00e1 a todos.<\/p>\n Partilho o entusiasmo do Alex! Muito em breve, o tempo e a dedica\u00e7\u00e3o que foram investidos nas especifica\u00e7\u00f5es durante anos ser\u00e1 traduzida na forma de novas normas RFC. Este \u00e9 o momento certo para os arquitetos poderem explorar as vantagens espec\u00edficas para identidades e seguran\u00e7a que os V\u00ednculos de Tokens representam.<\/p>\n Est\u00e1 a questionar-se sobre o que os v\u00ednculos de tokens t\u00eam de t\u00e3o especial? Os v\u00ednculos de tokens tornam os cookies, tokens de atualiza\u00e7\u00e3o e tokens de acesso OAuth, e os Tokens de ID do OpenID Connect inutiliz\u00e1veis fora do contexto TLS espec\u00edfico do cliente no qual foram emitidos. Normalmente, este tipo de tokens s\u00e3o tokens de “portador”, o que significa que quem possui o token pode troc\u00e1-lo por recursos. No entanto, os v\u00ednculos de tokens s\u00e3o melhorados com base nesta norma, sendo dispostos em camadas num mecanismo de confirma\u00e7\u00e3o para testar o material criptogr\u00e1fico recolhido no momento de emiss\u00e3o dos tokens comparativamente ao que foi recolhido no momento de utiliza\u00e7\u00e3o dos tokens. Apenas o cliente com o canal TLS correto ir\u00e1 passar no teste. Este processo de for\u00e7ar a entidade que apresenta o token a comprovar a respetiva identidade \u00e9 denominado “prova de posse”.<\/p>\n Repar\u00e1mos que os cookies e tokens podem ser utilizados fora do contexto TLS original de v\u00e1rias formas mal intencionadas. Estes tipos de utiliza\u00e7\u00e3o podem ocorrer atrav\u00e9s do controlo de cookies de sess\u00e3o sem autoriza\u00e7\u00e3o, de uma fuga de tokens de acesso ou de um ataque “man-in-the-middle” (MiTM) sofisticado<\/a>. \u00c9 por este motivo que o projeto IETF OAuth 2 Security Best Current Practice<\/a> recomenda os v\u00ednculos de tokens e o motivo pelo qual duplic\u00e1mos recentemente as recompensas no nosso programa de recompensas de identidades<\/a>. Ao exigir uma prova de posse, conseguimos fazer com que seja mais dif\u00edcil ou dispendioso para um atacante utilizar cookies ou tokens para fins aos quais n\u00e3o est\u00e3o destinados de forma oportunista ou premeditada.<\/p>\n Como qualquer mecanismo de prova de posse, os v\u00ednculos de tokens d\u00e3o-nos a capacidade de criar defesas a todos os n\u00edveis. Podemos esfor\u00e7ar-nos para nunca perder um token, mas tamb\u00e9m podemos verific\u00e1-lo apenas para jogar pelo seguro. Ao contr\u00e1rio de outros mecanismos de prova de posse tais como certificados de cliente, os v\u00ednculos de tokens s\u00e3o aut\u00f3nomos e transparentes para o utilizador e a maioria das tarefas mais complexas \u00e9 efetuada pela infraestrutura. Esperamos que isto eventualmente signifique que qualquer pessoa pode optar por operar segundo uma garantia de identidade de alto n\u00edvel. No entanto, prevemos uma forte procura inicial por parte de segmentos governamentais e financeiros, dado que estes t\u00eam requisitos de regulamenta\u00e7\u00e3o imediatos que podem utilizar para efeitos de prova de posse. A t\u00edtulo de exemplo, qualquer pessoa que exija uma norma de categoria NIST 800-63C<\/a> AAL3 necessita deste tipo de tecnologia.<\/p>\n Os v\u00ednculos de tokens representam um longo caminho. Decorreram tr\u00eas anos desde que entr\u00e1mos neste percurso e, embora a ratifica\u00e7\u00e3o das especifica\u00e7\u00f5es seja um marco entusiasmante, enquanto ecossistema ainda temos muitas coisas em que trabalhar e \u00e9 necess\u00e1rio que esta especifica\u00e7\u00e3o funcione entre v\u00e1rios fabricantes e plataformas para que tenha \u00eaxito. Estamos muito entusiasmados por come\u00e7armos a partilhar em detalhe, durante os pr\u00f3ximos meses, os benef\u00edcios de seguran\u00e7a e as melhores pr\u00e1ticas que surgiram da ado\u00e7\u00e3o desta funcionalidade e esperamos que se junte a n\u00f3s para promover a implementa\u00e7\u00e3o desta tecnologia onde quer que precise da mesma.<\/p>\n Cumprimentos,<\/p>\n \u2013 Pam<\/p>\n","protected":false},"excerpt":{"rendered":" Ol\u00e1 a todos. Nos \u00faltimos meses, tivemos momentos BEM entusiasmantes no que diz respeito a normas de identidade e seguran\u00e7a. Gra\u00e7as aos esfor\u00e7os de v\u00e1rios especialistas do setor, fizemos progressos incr\u00edveis na finaliza\u00e7\u00e3o de um vasto conjunto de normas novas e melhoradas, que v\u00e3o enriquecer as experi\u00eancias de seguran\u00e7a e de utilizador de uma gera\u00e7\u00e3o<\/p>\n","protected":false},"author":0,"featured_media":1095,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"ep_exclude_from_search":false,"_classifai_error":"","_classifai_text_to_speech_error":"","footnotes":""},"categories":[1],"tags":[219],"coauthors":[],"class_list":["post-1094","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized","tag-azure"],"yoast_head":"\n\n