令牌绑定的时代已经到来！
大家好，
过去几个月是身份和安全标准取得里程碑意义的重要时期。在业界众多专家的努力下，我们在最终确定一系列新的、经过改进的标准方面取得了不可思议的进展，这些标准将提高一代云服务和设备的安全性和用户体验。
其中一项最重要的改进是令牌绑定规范系列，这些规范目前正在申请 Internet 工程任务组 (IETF) 的最终批准。（如果想了解更多关于令牌绑定的信息，请观看 Brian Campbell 的精彩演讲。）
Microsoft 相信，令牌绑定可为全世界的开发人员提供广泛而简单的高度身份和身份验证保证，极大地提高企业和消费者场景的安全性。
我们认为这种影响具有非常积极的意义，我们将一直并持续与社区深度合作，以创建和采用令牌绑定系列规范。
这些规范目前已进入最终批准阶段，在此我想发出两个行动呼吁：
- 开始体验令牌绑定并规划部署。
- 联系浏览器和软件供应商，要求他们尽快实施令牌绑定（如果尚未实施）。
我很高兴地告诉大家，Microsoft 以及业界许多其他企业一致认为令牌绑定是一种重要的解决方案，它的时代已经到来。
关于为什么令牌绑定如此重要的更多信息，将由我们许多人都知道的业界领军人物 Pamela Dingle 来说明，而她现在是 Azure AD 团队的 Microsoft 身份标准总监。
此致，
Alex Simons (Twitter: @Alex_A_Simons)
Microsoft 身份识别部门
项目管理总监
—————————————————————————————————————————–
大家好，首先谢谢 Alex。
我和 Alex 一样兴奋！我们投入了多年的时间和精力来制定规范，不久的将来我们就可以看到新的 RFC 标准。架构师可以好好利用这个时期了解令牌绑定的具体身份和安全优势。
你可能会问，令牌绑定为什么如何重要？令牌绑定使得 Cookie、OAuth 访问令牌和刷新令牌，以及 OpenID Connect ID 令牌无法在发出它们的客户端特定 TLS 上下文之外使用。此类令牌通常是“持有者”令牌，意味着拥有令牌的任何人都可以交换令牌以获取资源，但令牌绑定改进了这种模式，它可以在确认机制中进行分层，以根据令牌使用时收集的加密材料来测试令牌颁发时收集的加密材料。只有使用正确 TLS 通道的正确客户端才能通过测试。这种迫使实体出示令牌以证明自己身份的过程称为“持有证明”。
事实证明，Cookie 和令牌可能会以各种恶意方式在原始 TLS 上下文之外使用。它可能是被劫持的会话 Cookie 或被泄露的访问令牌，或者复杂的 MiTM。这就是为什么 IETF OAuth 2 安全最佳实践草案推荐令牌绑定，以及为什么我们最近将 身份奖励计划的奖励翻了一番的原因。通过要求持有证明，我们增加了攻击者投机性地或有预谋地使用 Cookie 或令牌的难度和代价，从而减少这种情况的发生。
与持有证明机制一样，通过令牌绑定，我们可以构建深度防御。我们不仅可以保证令牌不丢失，也可以只验证其安全性。与客户端证书等其他持有证明机制不同，令牌绑定是独立的且对用户透明，大部分繁重的工作均由基础结构完成。我们希望最终的效果是任何组织都可以在高度身份保证的条件下开展运营，但在开始时我们希望政府和金融机构能够表现出强烈需求，因为他们目前已有执行持有证明的监管要求。例如，需要 NIST 800-63C AAL3 分类的组织就需要这种技术。
全面实现令牌绑定是一个漫长的过程。我们花了三年时间来制定规范，虽然规范的批准是一个激动人心的里程碑，但是作为一个生态系统，我们仍需构建许多内容，并且这个规范需要适用于所有供应商和平台才算成功。令人高兴的是，在接下来的几个月里，我们将开始深入分享实施此功能所具有的安全优势和最佳实践，我们期待你的加入，与我们一起让这项技术兴盛起来。
干杯，
— Pam
