NISTがオンラインIDとアクセストークンを悪用から保護するためのガイドラインを確定

新たに確定した報告書は、クラウドサービス事業者とその顧客が、オンラインアプリへのアクセス時に広く使われるIDトークンとアクセストークンをより適切に保護する助けになる。
トークンは敵対者の手に渡れば危険になり得る。この出版物は、組織がトークンを攻撃者に晒さないための有効な対策を取れるようにすることを目的としている。
2025年12月の草案版に対する一般からのフィードバックを受け、著者らは出版物を修正・拡充した。

開いたノートパソコンの上にクラウド、サイバーセキュリティ、IDのアイコンが浮かび、両手がキーボードの上に置かれている様子を示すイラスト。

画像クレジット： dee karen/Shutterstock

ウェブメールのようなオンラインサービスにログインするとき、その裏側にはたいていトークンがある。あなたが誰であるか、そして受信トレイや連絡先など、機密性を持ち得るオンラインリソースのうち何を使うことを許されているかを示す、小さな情報の断片だ。こうしたトークンを安全に保つことは、不正アクセスを防ぐうえで不可欠であり、それが米国国立標準技術研究所（NIST）とサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）による新たに確定した出版物の狙いでもある。正式名称は Protecting Tokens and Assertions from Forgery, Theft, and Misuse (NIST IR 8587) で、デジタルシステムで広く使われるトークンを安全に保つための実装ガイダンスを示している。この出版物は Executive Order 14306 でNISTに課された任務に応えるもので、NISTのセキュリティとプライバシーのツールカタログである Special Publication 800-53 の最近の更新を土台に、トークンとトークン管理の安全性を高めることを目指している。NISTのデジタルアイデンティティプログラムを率いる Ryan Galluzzo によれば、この文書は主に連邦機関とその協力先のクラウドサービスプロバイダー（CSP）に向けたものだが、IDトークンや関連するIDアサーションを扱うあらゆる組織の役にも立つ。「この出版物はトークンを適切に保護するための実装上の考慮点を示しています」と、著者の一人である Galluzzo は言う。「アクセス管理基盤でトークンを使っている人なら誰でも、政府であれ民間であれ、そこから学べることがあります」。ウェブメールからデータバックアップまで、私たちがオンラインで使うサービスの多くは「クラウド」上にあり、クラウドはアクセスに認可を要する遠隔のコンピューターサーバーで構成されている。主要なCSPのアクセス管理基盤では、トークンが要となる。トークンは暗号学的に保護されたユーザー情報を含み、認証の一部として使える。シングルサインオンなどの機能も支え、ユーザーは何度も再認証せずに複数のアプリを使える。シングルサインオンの便利さを気に入っているなら、トークンに感謝すべきだ。トークンにはデジタル基盤における他にも多くの幅広い用途があり、ゼロトラストアーキテクチャの重要な構成要素でもある。しかし適切に保護されなければ、悪意ある行為者がトークンを利用して機密システムに侵入できる。報告書が引用するある攻撃では、国外の行為者が、盗まれた単一の商用署名鍵で偽造したトークンを使い、ある機関のメールシステムにアクセスした。攻撃者はその機関から6万通を超えるメールを窃取した。報告書の想定読者は、CSPのサービスを正しく設定する方法を知る必要のある連邦機関と、そうした機関に安全な製品を提供する必要のあるCSP自身の双方にわたる。出版物は両者に向けた一連の原則を示し、データが常に保護されるためにプロバイダー組織と消費者組織がそれぞれ何をすべきかを定めている。Galluzzo によれば、著者らは読者からのフィードバックに基づいて出版物の初稿を改訂した。特に注目すべき変更点は次のとおり。

暗号鍵の保護に関するガイダンスは、規定型ではなく成果重視になり、組織全体の能力に焦点を当てるようになった。暗号鍵の使用、保護、保管に関する推奨事項も増えた。
AIへの対応と、耐量子暗号（PQC）標準への移行に関する高レベルの考慮事項を追加した。出版物はこの2つのテーマについて完全なツール一式を提供しているわけではない。（NISTの国家サイバーセキュリティ卓越センター（NCCoE）は最近、ID標準とベストプラクティスをAIエージェントに適用するためのコンセプトペーパーを公開し、PQC移行プロジェクトも立ち上げている。）
組織が目標を達成するための異なる道筋を見つけられるよう、現行および新興の標準への参照を追加した。トークンの失効や、トークン共有に関するシグナルなどといったタスクには、より多くの選択肢が用意されている。

Galluzzo は、NISTとCISAが Joint Cyber Defense Collaborative などの業界パートナーから得た重要な支援を強調した。後者は貴重なフィードバックを提供した。「この文書はサイバーセキュリティコミュニティ全体の知見を結集し、政府のデータ、リソース、システムを、今日直面している進化し続ける脅威からよりよく守る助けになります」と彼は言う。

情報技術、クラウドコンピューティングと仮想化、サイバーセキュリティとプライバシー、IDとアクセス管理