NIST敲定保护在线身份和访问令牌免遭滥用的指南

• 一份新近定稿的报告可以帮助云服务提供商及其客户更好地保护身份与访问令牌，这类令牌在访问在线应用时被广泛使用。
• 令牌一旦落入对手手中就可能带来危险，这份出版物旨在帮助各类组织采取有效措施，避免将令牌暴露给攻击者。
• 针对公众对 2025 年 12 月草案版本的反馈，报告作者对出版物进行了修改和扩充。

图片来源： dee karen/Shutterstock

当你登录网页邮箱这类在线服务时，背后往往是一个令牌——一小段信息，用来标识你的身份，以及你被允许使用哪些在线资源，比如收件箱、联系人或其他可能敏感的信息。保护这些令牌的安全，对于防止未授权访问至关重要，这也正是美国国家标准与技术研究院（NIST）与网络安全和基础设施安全局（CISA）一份新近定稿的出版物的目标。这份出版物的全称是 Protecting Tokens and Assertions from Forgery, Theft, and Misuse (NIST IR 8587)，它给出了实施指南，帮助维护令牌的安全，而令牌在数字系统中被广泛使用。该出版物回应了 NIST 在 Executive Order 14306 中承担的任务，并建立在 Special Publication 800-53 近期更新之上——这是 NIST 的安全与隐私工具目录——目的是增强令牌及令牌管理的安全性。NIST 数字身份项目负责人 Ryan Galluzzo 表示，这份文件主要面向联邦机构及其合作的云服务提供商（CSP），但也能帮助任何处理身份令牌及相关身份断言形式的组织。“这份出版物给出了恰当保护令牌的实施考量，”该出版物的作者之一 Galluzzo 说，“任何在访问管理基础设施中使用令牌的人，都可以从中获得启发，无论身处政府还是商业行业。”我们在网上使用的许多服务——从网页邮箱到数据备份——都位于“云”中，而云由需要授权才能访问的远程计算机服务器组成。在大多数主要 CSP 的访问管理基础设施中，令牌都是关键一环。它们包含经过密码学保护的用户信息，可作为身份验证的一部分使用。它们还能支撑单点登录之类的功能，让用户使用多个应用而不必反复重新认证。如果你喜欢单点登录带来的便利，那就感谢令牌吧。令牌在数字基础设施中还有许多其他广泛用途，也是零信任架构的重要组成部分。然而，如果缺乏适当保护，恶意行为者就能利用令牌闯入敏感系统。报告援引的一起攻击中，境外行为者利用由单个被盗商业签名密钥伪造出的令牌，访问了某机构的电子邮件系统。攻击者从该机构窃取了超过 60,000 封电子邮件。报告的目标读者既包括联邦机构——它们需要了解如何正确配置来自 CSP 的服务，也包括 CSP 自身——它们需要向这些机构交付安全的产品。出版物为双方列出了一套原则，界定了提供商组织和消费者组织应当做什么，以确保数据始终受到保护。Galluzzo 说，作者根据读者反馈修订了出版物的初稿。其中最值得注意的改动包括：

• 加密密钥保护指南不再那么具有规定性，而是更注重结果，聚焦组织的整体能力。同时新增了更多关于加密密钥使用、保护和存储的建议。
• 新增了处理 AI 以及向后量子密码学（PQC）标准迁移的高层考量。该出版物并未针对这两个主题提供一套完整的工具。（NIST 的国家网络安全卓越中心（NCCoE）最近发布了一份关于将身份标准与最佳实践应用于 AI 智能体的概念文件，并且还启动了一个 PQC 迁移项目。）
• 新增了对当前和新兴标准的引用，以便组织找到实现其目标的不同途径。令牌撤销、围绕令牌共享信号等任务现在有了更多可选方案。

Galluzzo 强调了 NIST 和 CISA 从 Joint Cyber Defense Collaborative 等行业合作伙伴那里获得的关键支持，后者提供了重要的反馈。“这份文件汇集了整个网络安全社区的洞见，帮助我们更好地保护政府数据、资源和系统，抵御它们今天面临的不断演变的威胁，”他说。

信息技术、云计算与虚拟化、网络安全与隐私以及身份与访问管理