Прив’язка маркерів (Token Binding) – час прийшов!

Вітаємо!

Протягом останніх кількох місяців сталося ДУЖЕ багато цікавого у світі засобів ідентифікації та стандартів безпеки. Завдяки зусиллям широкого кола галузевих експертів ми досягли неймовірного прогресу, завершивши розробку великого набору нових і вдосконалених стандартів, які поліпшать безпеку та зроблять хмарні служби й пристрої зручнішими для користувача.

Одним із найважливіших серед цих удосконалень є родина специфікацій Token Binding, яка зараз очікує остаточної ратифікації від Спеціальної комісії інтернет-розробок (Internet Engineering Task Force, IETF). (Щоб дізнатися більше про технологію прив’язки маркерів (Token Binding), перегляньте цю чудову презентацію від Брайана Кемпбелла.)

У Microsoft ми вважаємо, що специфікації Token Binding можуть значно підвищити безпеку одночасно для компаній і пересічних користувачів, зробивши високоефективні технології ідентифікації та автентифікації широко- й легкодоступним для розробників у всьому світі.

З огляду на те, наскільки позитивними на нашу думку виявилися ці зрушення, ми й надалі віддано співпрацюватимемо зі спільнотою, створюючи та впроваджуючи родину специфікацій Token Binding.

Тепер, коли специфікації близькі до ратифікації, мені б хотілося, щоб ви зробили наступне:

1. Почніть експериментувати зі стандартом Token Binding і відповідним чином планувати свої розробки.
2. Зверніться до своїх постачальників браузерів та іншого програмного забезпечення з проханням реалізувати специфікації Token Binding у своїх продуктах, якщо вони ще цього не зробили.

З радістю повідомляю, що корпорація Майкрософт – один із багатьох авторитетних представників галузі, які відкрито заявляють про важливість рішення Token Binding, час якого вже настав.

Оцінити, чому технології прив’язки маркерів настільки важливі, нам допоможе Памела Дінгл – провідний експерт у галузі, уже добре відомий багатьом із вас. Тепер вона ще й директор відділу Microsoft із питань стандартів ідентичності в підрозділі Azure AD.

З повагою,

Алекс Сімонс (Twitter: @Alex_A_Simons)

Начальник відділу керування програмами

Відділ технологій ідентифікації, корпорація Майкрософт

—————————————————————————————————————————–

Дякую, Алекс, і привіт усім!

Не можу не поділяти захоплення Алекса. На розробку специфікацій пішли роки роботи й безліч зусиль. І незабаром вони стануть новими стандартами RFC. Настав час для архітекторів усвідомити конкретні переваги ідентифікації та безпеки, які надає стандарт Token Binding.

“Що ж такого особливого в технології прив’язки маркерів?” – запитаєте ви. Прив’язка маркерів робить файли cookie, маркери доступу OAuth і маркери оновлення, а також маркери OpenID Connect ID непридатними для використання поза контекстом TLS, у якому їх створили. Зазвичай це маркери носія – той, хто володіє ними, може “обміняти” їх на ресурси. Але прив’язка маркерів вдосконалює цю систему: накладається механізм підтвердження, який дає змогу зіставити криптографічні матеріали, зібрані під час видавання й використання маркера. Тільки правильний клієнт, який використовує необхідний канал TLS, пройде перевірку. Процес, у ході якого примушують об’єкт, що надає маркер, підтвердити свої повноваження, називається “встановленням права володіння”.

Виявляється, що файли cookie й маркери можуть використовуватися за межами вихідного контексту TLS у зловмисних цілях. Це можуть бути вкрадені файли cookie сеансу, втрачені маркери доступу або витончена атака посередника (MiTM). Саме тому в проекті актуальних практичних порад щодо безпеки IETF OAuth 2 рекомендується використовувати Token Binding, а ми нещодавно подвоїли винагороди в рамках програми заохочення учасників до популяризації засобів перевірки ідентичності. Тепер, коли ми вимагаємо підтвердити право володіння, зловмиснику, щоб скористатися файлами cookie або маркерами з метою, для якої вони не призначені, довелося б вдатися до занадто складних і дорогих методів.

Як і будь-який механізм установлення права володіння, прив’язка маркерів дає нам змогу побудувати поглиблений комплексний захист. Ми можемо докладати багато зусиль, щоб не втратити маркер, проте ми також маємо змогу перевірити його, аби залишатися захищеними. Прив’язка маркерів – це автономне та прозоре для користувача рішення, на відміну від інших механізмів, що дають змогу встановити право володіння, як-от клієнтські сертифікати. Причому більша частина складних операцій виконується інфраструктурою. Ми сподіваємося, що зрештою кожен зможе почати працювати з технологіями, які забезпечують ефективний контроль ідентичності. Але спершу ми очікуємо на попит із боку державних і фінансових установ, які змушені виконувати поточні нормативні вимоги щодо встановлення права володіння. Для прикладу, ця технологія знадобиться кожному, хто потребує рівня автентифікації AAL3 за стандартом NIST 800-63C.

Token Binding – результат тривалої праці. Ми займаємося цим уже три роки, і хоча ратифікація специфікацій – важливий етап, нам, як творцям екосистеми, ще багато чого потрібно зробити. Щоб ця специфікація стала ефективною, її мають реалізовувати різні постачальники на різноманітних платформах. Ми дуже раді, що в найближчі місяці почнемо активно розповідати про переваги цієї технології для системи безпеки й ділитимемося практичними порадами з власного досвіду. Ми сподіваємося, що ви, як і ми, прагнутимете поширити це рішення всюди, де воно вам знадобиться.

Усього найкращого,

Пам