米国国立標準技術研究所(NIST)は、シングルサインオン、クラウドフェデレーション、およびAPI(アプリケーションプログラミングインターフェース)環境で使用されるIDトークン、アクセストークン、アサーションを保護するための新たな実装ガイダンスを公開しました。
2026年9月15日に発行されたNIST内部レポート8587「Protecting Tokens and Assertions from Forgery, Theft, and Misuse: Implementation Recommendations for Agencies and Cloud Service Providers」は、トークンに関する継続的な脅威に直面している連邦政府機関とクラウドサービスプロバイダー(CSP)向けに、技術的な推奨事項を提供するものです。
トークンは現代のIDシステムにおいて重要な役割を担っており、ユーザーやワークロードが一度の認証で複数のアプリケーション、サービス、API、クラウドリソースに安全にアクセスできるようにしています。
しかし、トークンが盗まれたり偽造されたりすると、攻撃者は従来の認証コントロールを回避し、ユーザーになりすまし、永続性を維持し、パスワードを必要とせずに機密システムにアクセスできてしまいます。
NIST、SSO保護に向けた新ガイダンスを発行
NIST IR 8587は、NIST特別刊行物800-53リリース5.1.1で導入された更新内容を土台としています。本レポートでは、トークンを発行するCSPと、それを利用する政府機関の双方の責任を明確化し、トークンの生成、署名、検証、保管、失効、ライフサイクル管理に関する推奨事項を示しています。
このガイダンスでは、ユーザーやワークロードのIDを確立するために使われるIDトークン、APIやリソースへのリクエストを認可するアクセストークン、フェデレーション認証のワークフロー中にやり取りされるアサーションについて論じています。
これらの要素は、Security Assertion Markup Language(SAML)、OpenID Connect、OAuth 2.0といったプロトコルで一般的に使用されています。
NISTは、トークンを高価値な認証情報として扱うよう組織に助言しています。トークンが侵害された場合、それはすでに認証済みのセッションを表している可能性があるため、攻撃者に盗まれたパスワードと同等、あるいはそれ以上のアクセス権を与えてしまう恐れがあります。
本レポートは、アイデンティティプロバイダー、認可サーバー、リライングパーティ、そして政府機関に対し、トークンベースの認証を取り巻く暗号技術および運用面の安全対策を強化するよう求めています。
主な推奨事項は以下の通りです。
攻撃者による偽造トークンの生成を防ぐため、強力な暗号署名アルゴリズムと安全に管理された鍵を使用すること。
- アクセスを許可する前に、トークンの発行者、対象者(オーディエンス)、署名、有効期限、その他のクレームを厳密に検証すること。
- トークンの有効期間を制限し、リフレッシュトークンの管理を実施することで、盗まれた認証情報の価値を低減すること。
- 鍵のローテーションをサポートし、フェデレーションパートナー向けに信頼できる署名鍵情報を公開すること。
- 技術的に可能な場合、トークンを特定のクライアント、デバイス、ワークロード、または暗号鍵に紐付けること。
- ブラウザストレージ、アプリケーションログ、URL、テレメトリデータ、ソースコードリポジトリ、エラーメッセージを通じたトークン漏洩を防止すること。
- 不可能な移動、異常なAPI動作、不審な再利用パターンなど、異常なトークン使用を検知するための継続的な監視を実施すること。
NISTはまた、セキュア・バイ・デザインの原則も強調しており、顧客が重要な保護機能を自ら発見して有効化することに頼るのではなく、CSPがデフォルトで安全な設定を提供するよう促しています。
本ガイダンスには、脅威アクターが署名鍵を入手したり、セッション情報を窃取したり、OAuthアプリケーションを悪用したり、フェデレーションIDアサーションをリプレイしたりした著名な侵害事例からの教訓も反映されています。
こうした攻撃は、特に組織が外部から発行されたIDクレームを信頼している場合、オンプレミス環境とクラウド環境の両方を危険にさらす可能性があります。
セキュリティチームにとってIR 8587は、エンドポイント、ネットワーク、クラウドワークロードと同様の緊急性を持ってIDインフラを監視する必要性を改めて示すものです。
チームは、トークンの発行者と利用者の一覧を維持し、フェデレーションの信頼関係を見直し、露出した署名鍵を速やかにローテーションし、アプリケーションが不正な形式・期限切れ・不適切なスコープのトークンを確実に拒否するようにする必要があります。
本レポートは特に、IDトークンが企業リソースへのアクセスを左右する場面が増えている、クラウドサービスやゼロトラストアーキテクチャを採用する政府機関にとって重要な意味を持ちます。
マルウェアやフィッシングの脅威が出現してから24時間以内に、SOCを最新の状態に保ちましょう。 ANYRUNを試して早期検知でインシデントを防ぎましょう。
アンチマルウェアソフトウェア
翻訳元: https://gbhackers.com/nist-issues-new-guidance-to-protect-sso/
