トークン バインディング時代の到来
こんにちは。
この数週間は、ID 標準とセキュリティ標準の世界にとって、非常に心躍る時間でした。業界全体の幅広い分野の専門家の方々による努力のおかげで、さまざまな標準の新規策定や改訂の作業は飛躍的に進展し、最終段階に入っています。これらの標準により、クラウド サービスおよびデバイスのセキュリティとユーザー エクスペリエンスは共に向上することになるでしょう。
これらの中で最も重要な改善の 1 つは、トークン バインディング ファミリの仕様です。この策定作業は、インターネット技術標準化委員会 (IETF) で最終的な承認に向けて順調に進んでいます (トークン バインディングの詳細については、Brian Campbell 氏によるこのすばらしいプレゼンテーションをご覧ください)。
Microsoft では、トークン バインディングは、世界中の開発者が幅広く簡単にアクセスできる高いレベルの ID と認証を保証することで、企業と消費者の両方のセキュリティを大幅に向上できると確信しています。
Microsoft は、この効果の大きさを考えて、コミュニティと密接に連携して、トークン バインディング ファミリの仕様の策定と採用のための作業を進めています。
仕様は承認段階に近づいているので、次の 2 つの行動喚起を発表したいと思います。
- トークン バインディングの試用と展開計画を開始する。
- ブラウザーとソフトウェアのベンダーに連絡して、まだであれば、トークン バインディング実装をすぐに出荷するよう要求する。
Microsoft は、トークン バインディングは重要なソリューションであり、今まさにその時代が来たと唱える多数の企業のうちの 1 つです。
トークン バインディングが重要である理由をさらに詳しく知りたい方のために、ここからは、Microsoft の Identity Standards on the Azure AD チームのディレクターである Pamela Dingle に説明をお願いします。ご存知の方も多いと思いますが、彼女は、企業の声の主導者です。
お読みいただき、ありがとうございました。
Alex Simons (Twitter: @Alex_A_Simons)
Director of Program Management
Microsoft Identity Division
—————————————————————————————————————————–
Alex、ありがとうございます。皆さん、こんにちは。
私も Alex と同じように興奮しています。何年もの時間と労力を費やした仕様が完成したのです。まもなく、新しい RFC 標準として発表されるでしょう。アーキテクトの方は、トークン バインディングによってもたらされる ID とセキュリティの特別な利点について調べてみてください。
トークン バインディングの一体何が優れているのだろうと疑問に思っていませんか? トークン バインディングは Cookies を作成し、OAuth はトークンにアクセスしてトークンを更新します。OpenID Connect ID トークンは、発行されたクライアント固有の TLS コンテキスト外では使用できません。通常、このようなトークンはベアラー トークンで、トークンの所有者であればだれでもトークンをリソースと交換できますが、トークン バインディングは、確認メカニズムを階層化して、トークン発行時に収集される暗号材料を、トークン使用時に収集される暗号材料と比較検証することにより、このパターンを改善します。適切な TLS チャネルを使用する適切なクライアントのみが、このテストを通過します。トークンを提示するエンティティに対して自身の証明を強制するこのプロセスは、「所有権証明」と呼ばれています。
Cookies とトークンは、あらゆる種類の悪意のある方法で、オリジナルの TLS コンテキスト外で使用できることがわかっています。それは、乗っ取られたセッション Cookies、漏洩したアクセス トークン、または高度な MiTMである可能性があります。これが、IETF OAuth 2 Security Best Current Practice のドラフトでトークン バインディングが推奨されている理由であり、Microsoft がつい最近、Identity Bounty Program の報奨金を倍増した理由でもあります。所有権証明を要求することにより、便乗または周到な準備による、意図しない方法での Cookies またはトークンの使用を防ぎ、攻撃者にとって攻撃を試みるのが困難で高くつくものにします。
所有権証明メカニズムと同様、トークン バインディングでも、徹底した防御策を構築することができます。トークンを紛失しないように努力することはできますが、安全であるかどうかだけでも確認することもできます。クライアント証明書などの他の所有権証明メカニズムとは異なり、トークン バインディングは、自己完結型で、ユーザーに透過です。さらに、面倒な処理の大半はインフラストラクチャによって実行されます。最終的には、だれもが高いレベルの ID 保証での運用を選択できるようになることを期待していますが、当初は、所有権証明を求める規制が既にある政府機関や金融垂直市場の需要が急増すると見込んでいます。一例として、NIST 800-63C の AAL3 分類を要求する人はこの種のテクノロジも要求します。
トークン バインディングは長い道のりになります。ここまで 3 年かかりました。仕様の承認はすばらしい大きな一歩ですが、それでもなお、エコシステムとして構築しなければならないものが数多くあり、この仕様をベンダーやプラットフォームで無事に運用する必要もあります。今後数か月にわたって、セキュリティ上の利点や、この機能の利用によって生まれるベスト プラクティスが公表されるため、非常に興奮しています。このテクノロジが必要であれば、ぜひ私たちの主張にご賛同ください。
お読みいただき、ありがとうございました。
– Pam
