Xin chào quý vị và các bạn,
Thế giới tiêu chuẩn danh tính và bảo mật vừa trải qua một khoảng thời gian RẤT lý thú trong vài tháng vừa qua. Nhờ nỗ lực của đội ngũ chuyên gia đa dạng toàn ngành, chúng tôi đã đạt được tiến bộ ngoạn mục trong việc hoàn thiện bộ tiêu chuẩn bao quát mới và cải tiến hơn, sẽ cải thiện cả trải nghiệm người dùng và bảo mật của thế hệ thiết bị và dịch vụ đám mây.
Một trong những điểm cải thiện quan trọng nhất là Bộ chỉ dẫn kỹ thuật về liên kết mã thông báo hiện đang sắp đến bước phê duyệt cuối cùng tại Internet Engineering Task Force (IETF – Lực lượng chuyên trách kỹ thuật liên mạng). (Nếu bạn muốn tìm hiểu thêm về liên kết mã thông báo, hãy xem bản trình bày tuyệt vời này của Brian Campbell.)
Tại Microsoft, chúng tôi tin rằng Liên kết mã thông báo có thể cải thiện đáng kể tình trạng bảo mật của cả kịch bản doanh nghiệp và người tiêu dùng bằng cách tạo điều kiện cho các nhà phát triển trên khắp thế giới tiếp cận sự đảm bảo danh tính và xác thực cao một cách đơn giản và rộng rãi.
Chúng tôi cho rằng tác động của việc này rất tích cực, vì vậy chúng tôi đã và đang cực kỳ tận tâm phối hợp với cộng đồng để tạo và tiếp nhận bộ chỉ dẫn kỹ thuật liên kết mã thông báo.
Giờ khi các chỉ dẫn kỹ thuật này sắp được phê duyệt, tôi muốn đưa ra hai lời kêu gọi hành động:
- Bắt đầu thử nghiệm với liên kết mã thông báo và lên kế hoạch triển khai của bạn.
- Liên hệ với nhà cung cấp trình duyệt và phần mềm của bạn, yêu cầu họ gửi các bước triển khai liên kết mã thông báo sớm nếu họ vẫn chưa gửi.
Và tôi rất vui mừng được thông báo rằng Microsoft chỉ là một trong nhiều tiếng nói trong ngành cho biết liên kết mã thông báo là giải pháp quan trọng cần phải được áp dụng.
Để giúp các bạn hiểu thêm vì sao liên kết mã thông báo lại quan trọng đến vậy, tôi xin giao lại cho Pamela Dingle – gương mặt hàng đầu trong ngành và rất quen thuộc với nhiều bạn – hiện chị là Giám đốc Tiêu chuẩn danh tính đương nhiệm của nhóm Azure Active Directory thuộc Microsoft.
Trân trọng,
Alex Simons (Twitter: @Alex_A_Simons)
Giám đốc Quản lý chương trình
Bộ phận Danh tính của Microsoft
—————————————————————————————————————————–
Cảm ơn Alex và chào tất cả mọi người,
Tôi xin chia sẻ niềm vui của Alex! Nhiều năm qua, chúng ta đã bỏ thời gian và công sức vào nội dung chỉ dẫn kỹ thuật mà bạn sẽ sớm coi là tiêu chuẩn RFC (Đề nghị duyệt thảo và bình luận) mới. Hiện tại là thời điểm phù hợp để các kiến trúc sư tìm hiểu sâu về các ưu điểm cụ thể về danh tính và bảo mật của Liên kết mã thông báo.
Có lẽ các bạn sẽ băn khoăn rằng Liên kết mã thông báo có gì tuyệt vời đến vậy? Liên kết mã thông báo khiến cho cookie, mã thông báo truy nhập OAuth và mã thông báo làm mới, cũng như Mã thông báo kết nối ID của OpenID không dùng được bên ngoài ngữ cảnh TLS cụ thể của máy khách mà chúng được phát hành. Thông thường, các mã thông báo đó là mã thông báo “mang chuyển”, có nghĩa là bất kỳ ai sở hữu mã thông báo đều có thể đổi mã thông báo đó lấy tài nguyên, nhưng liên kết mã thông báo sẽ cải thiện mẫu hình này bằng cách tạo tầng trong cơ chế xác nhận để kiểm tra vật chất mã hóa được thu thập tại thời điểm phát hành mã thông báo so với vật chất mã hóa được thu thập tại thời điểm sử dụng mã thông báo. Chỉ máy khách phù hợp, sử dụng đúng kênh TLS mới vượt qua kiểm tra. Quy trình buộc thực thể trình diện mã thông báo phải tự chứng minh này có tên là “bằng chứng sở hữu”.
Hóa ra cookie và mã thông báo có thể được sử dụng bên ngoài ngữ cảnh TLS gốc theo nhiều cách xấu. Đó có thể là cookie của phiên bị chiếm quyền kiểm soát hoặc mã thông báo truy nhập bị rò rỉ hay MiTM (Tấn công xen giữa) tinh vi. Đây là lý do vì sao bản thảo Phương thức bảo mật tối ưu hiện tại OAuth 2 của IETF lại khuyến cáo nên sử dụng liên kết mã thông báo và vì sao gần đây chúng tôi tăng gấp đôi phần thưởng trong chương trình thưởng danh tính của mình. Bằng cách yêu cầu bằng chứng sở hữu, chúng ta khiến kẻ tấn công phải khó khăn và tốn kém để có thể lợi dụng hoặc dự tính sử dụng cookie hoặc mã thông báo vào sai mục đích.
Như mọi cơ chế bằng chứng sở hữu khác, liên kết mã thông báo cho phép chúng ta xây dựng khả năng phòng vệ ở mức chuyên sâu. Chúng ta có thể nỗ lực bảo vệ mã thông báo nhưng chúng ta cũng có thể xác minh để đảm bảo an toàn. Khác với các cơ chế bằng chứng sở hữu khác như chứng chỉ máy khách, liên kết mã thông báo độc lập và minh bạch với người dùng, với đa số công việc nặng nhọc đều do hạ tầng thực hiện. Chúng tôi hy vọng rằng dần dà điều này sẽ đồng nghĩa với việc bất kỳ ai cũng có thể chọn hoạt động ở mức đảm bảo bảo mật cao, nhưng chúng tôi mong sẽ được thấy nhu cầu mạnh mẽ ngay từ đầu từ chính phủ và các ngành dọc tài chính, khi họ lập tức đưa ra yêu cầu quy định sử dụng bằng chứng sở hữu. Ví dụ: bất kỳ ai yêu cầu phân loại NIST 800-63C AAL3 cũng cần có công nghệ này.
Liên kết mã thông báo đại diện cho một chặng đường dài. Chúng tôi đã thực hiện công việc này được ba năm và sự kiện phê duyệt chỉ dẫn kỹ thuật là dấu mốc đầy phấn khích vì chúng tôi còn phải xây dựng rất nhiều cho hệ sinh thái và chỉ dẫn kỹ thuật này cần được áp dụng tại mọi nhà cung cấp và nền tảng để đi đến thành công. Chúng tôi hào hứng chờ đợi những tháng sắp tới để bắt đầu chia sẻ chuyên sâu về các lợi ích và biện pháp tốt nhất về bảo mật mà chúng tôi tìm hiểu được từ khi nghiên cứu chức năng này, đồng thời chúng tôi hy vọng bạn sẽ cùng chúng tôi ủng hộ cho công nghệ này ở bất kỳ nơi nào bạn cần đến.
Chúc mừng,
— Pam