{"id":6087,"date":"2018-08-21T09:00:59","date_gmt":"2018-08-21T16:00:59","guid":{"rendered":"https:\/\/www.microsoft.com\/sv-se\/2018\/08\/21\/its-time-for-token-binding\/"},"modified":"2022-06-28T11:28:11","modified_gmt":"2022-06-28T18:28:11","slug":"its-time-for-token-binding","status":"publish","type":"post","link":"https:\/\/www.microsoft.com\/sv-se\/microsoft-365\/blog\/2018\/08\/21\/its-time-for-token-binding\/","title":{"rendered":"Dags f\u00f6r tokenbindning"},"content":{"rendered":"
Hej!<\/p>\n
De senaste m\u00e5naderna har varit MYCKET sp\u00e4nnande n\u00e4r det g\u00e4ller identitet och s\u00e4kerhetsstandarder. Tack vare anstr\u00e4ngningarna av en m\u00e4ngd experter i branschen har vi gjort otroliga framsteg i att slutf\u00f6ra en bred upps\u00e4ttning nya och f\u00f6rb\u00e4ttrade standarder som f\u00f6rb\u00e4ttrar b\u00e5de s\u00e4kerheten och anv\u00e4ndarupplevelsen f\u00f6r en generation med molntj\u00e4nster och enheter.<\/p>\n
En av de viktigaste av dessa f\u00f6rb\u00e4ttringar \u00e4r specifikationerna f\u00f6r tokenbindningar som nu \u00e4r p\u00e5 v\u00e4g mot att slutligen ratificeras av Internet Engineering Task Force (IETF)<\/a>. (Om du vill l\u00e4ra dig mer om tokenbindning kan du titta p\u00e5 den h\u00e4r j\u00e4ttebra presentationen<\/a> av Brian Campbell.)<\/p>\n Vi p\u00e5 Microsoft tror att tokenbindning kan f\u00f6rb\u00e4ttra s\u00e4kerheten f\u00f6r b\u00e5de f\u00f6retag och konsumenter mycket genom att g\u00f6ra h\u00f6g identitets- och autentiseringskontroll mer och enklare tillg\u00e4nglig f\u00f6r utvecklare runt om i v\u00e4rlden.<\/p>\n Med tanke p\u00e5 hur positiv vi tror att den h\u00e4r effekten kan bli har vi samarbetat och forts\u00e4tter att samarbeta med communityn f\u00f6r att skapa och inf\u00f6ra specifikationerna f\u00f6r tokenbindningar.<\/p>\n Nu n\u00e4r specifikationerna \u00e4r n\u00e4ra att ratificeras vill jag uppmana till att g\u00f6ra tv\u00e5 saker:<\/p>\n Och jag kan meddela att Microsoft bara \u00e4r en av m\u00e5nga r\u00f6ster i branschen<\/a> som s\u00e4ger att tokenbindning \u00e4r en viktig l\u00f6sning som det verkligen \u00e4r dags f\u00f6r.<\/p>\n Mer information om varf\u00f6r tokenbindning \u00e4r viktigt f\u00e5r ni av Pamela Dingle \u2013 en ledande r\u00f6st i branschen som m\u00e5nga av er redan k\u00e4nner till \u2013 som nu \u00e4r chef f\u00f6r identitetsstandarder p\u00e5 Microsoft i Azure AD-teamet.<\/p>\n V\u00e4nliga h\u00e4lsningar,<\/p>\n Alex Simons (Twitter:\u202f@Alex_A_Simons<\/a>)<\/p>\n Chef f\u00f6r programhantering<\/p>\n Microsoft Identity Division<\/p>\n \u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2014\u2013<\/p>\n Tack Alex och hej allihop,<\/p>\n jag \u00e4r lika entusiastisk som Alex! Under flera \u00e5r har mycket tid och arbete lagts ned p\u00e5 de specifikationer som du kommer att bli nya RFC-standarder v\u00e4ldigt snart. Nu \u00e4r det dags f\u00f6r arkitekter att ta tag i de specifika identitets- och s\u00e4kerhetsf\u00f6rdelar som tokenbindning inneb\u00e4r.<\/p>\n Du kanske undrar vad det \u00e4r som \u00e4r s\u00e5 bra med tokenbindning. Tokenbinding g\u00f6r s\u00e5 att cookies, OAuth-\u00e5tkomsttoken och uppdateringstoken blir oanv\u00e4ndbara utanf\u00f6r den klientspecifika TLS-kontext d\u00e4r de har utf\u00e4rdats. Normalt \u00e4r s\u00e5dan token \u00e4gartoken, vilket betyder att vem som \u00e4n har token kan byta token mot resurser, men tokenbindning f\u00f6rb\u00e4ttrar detta m\u00f6nster, genom att l\u00e4gga in en niv\u00e5 med en bekr\u00e4ftelsemekanism f\u00f6r att testa det kryptografiska materialet som samlats in n\u00e4r token utf\u00e4rdades mot det kryptografiska material som samlats vid tokenanv\u00e4ndningen. Det \u00e4r bara r\u00e4tt klient, som anv\u00e4nder r\u00e4tt TLS-kanal, som godk\u00e4nts i testet. Den h\u00e4r processen tvingar entiteten som presenterar token att bevisa sig sj\u00e4lv kallas f\u00f6r \u201dproof of possession\u201d (PoP), bevis p\u00e5 innehav.<\/p>\n Det visar sig att cookies och token kan anv\u00e4ndas utanf\u00f6r den ursprungliga TLS-kontexten p\u00e5 alla slags skadliga s\u00e4tt. Det kan vara kapade sessionscookies eller l\u00e4ckta \u00e5tkomsttoken, eller avancerade MiTM-attacker<\/a>. D\u00e4rf\u00f6r rekommenderas tokenbindning i IETF:s utkast till OAuth 2 Security Best Current Practice <\/a> (B\u00e4sta metoder f\u00f6r OAuth 2-s\u00e4kerhet) och varf\u00f6r vi nyligen f\u00f6rdubblade bel\u00f6ningen i v\u00e5rt Identity Bounty Program<\/a>. Genom att kr\u00e4va bevis p\u00e5 innehav g\u00f6r vi det sv\u00e5rt och dyrt f\u00f6r en angripare att f\u00f6rs\u00f6ka anv\u00e4nda cookies eller token p\u00e5 opportunistiska eller upps\u00e5tliga s\u00e4tt.<\/p>\n Som alla PoP-mekanismer f\u00f6r att bevisa innehav ger tokenbindning oss m\u00f6jlighet att skapa ett djupg\u00e5ende f\u00f6rsvar. Vi kan jobba h\u00e5rt och aldrig f\u00f6rlora en token men vi kan ocks\u00e5 kontrollera f\u00f6r s\u00e4kerhets skull. Till skillnad fr\u00e5n andra PoP-mekanismer, till exempel klientcertifikat, \u00e4r tokenbindning sj\u00e4lvst\u00e4ndig och transparent f\u00f6r anv\u00e4ndaren, d\u00e4r det tyngsta arbetet g\u00f6rs av infrastrukturen. Vi hoppas att det h\u00e4r till slut betyder att vem som helst kan v\u00e4lja att anv\u00e4nda en h\u00f6g niv\u00e5 av identitetskontroll men vi f\u00f6rv\u00e4ntar oss att se en stark efterfr\u00e5gan fr\u00e5n den vertikala myndighets- och finansmarknaden, eftersom de har direkta best\u00e4mmelsekrav att bevisa innehav. Ett exempel p\u00e5 det h\u00e4r \u00e4r att alla som kr\u00e4ver NIST 800-63C<\/a> AAL3-kategorisering beh\u00f6ver den h\u00e4r typen av teknik.<\/p>\n V\u00e4gen har varit l\u00e5ng f\u00f6r tokenbindning. Det har g\u00e5tt tre \u00e5r och ratificeringen av specifikationerna \u00e4r en sp\u00e4nnande milstolpe men som ekosystem \u00e4r det fortfarande mycket kvar att bygga och f\u00f6r att den h\u00e4r specifikationen ska lyckas m\u00e5ste den fungera f\u00f6r b\u00e5de leverant\u00f6rer och plattformar. Under de kommande m\u00e5naderna kommer vi att b\u00f6rja dela med oss utf\u00f6rlig information om de s\u00e4kerhetsf\u00f6rdelar och b\u00e4sta metoder som har kommit fram n\u00e4r vi har anv\u00e4nt funktionerna, och vi hoppas att alla kommer att f\u00f6respr\u00e5ka den h\u00e4r tekniken \u00f6verallt d\u00e4r den beh\u00f6vs.<\/p>\n Tack,<\/p>\n \u2013 Pam<\/p>\n","protected":false},"excerpt":{"rendered":" Hej! De senaste m\u00e5naderna har varit MYCKET sp\u00e4nnande n\u00e4r det g\u00e4ller identitet och s\u00e4kerhetsstandarder. Tack vare anstr\u00e4ngningarna av en m\u00e4ngd experter i branschen har vi gjort otroliga framsteg i att slutf\u00f6ra en bred upps\u00e4ttning nya och f\u00f6rb\u00e4ttrade standarder som f\u00f6rb\u00e4ttrar b\u00e5de s\u00e4kerheten och anv\u00e4ndarupplevelsen f\u00f6r en generation med molntj\u00e4nster och enheter. En av de viktigaste<\/p>\n","protected":false},"author":0,"featured_media":6088,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"ep_exclude_from_search":false,"_classifai_error":"","footnotes":""},"content-type":[146],"product":[158,148],"audience":[193],"tags":[219],"coauthors":[],"class_list":["post-6087","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","content-type-news","product-enterprise-mobility-security","product-microsoft-365","audience-enterprise","tag-azure"],"yoast_head":"\n\n