CISAとNIST、クラウドIDトークン保護に関するガイダンスを発表

米サイバーセキュリティ・インフラセキュリティ庁(CISA)と米国立標準技術研究所(NIST)は、クラウドIDトークンおよびアサーションを窃取・偽造・悪用から保護するための最終ガイダンスを発表しました。対象は連邦政府機関、クラウドサービスプロバイダー、およびそれらのサービスを利用する組織です。

「省庁間報告書8587号」は9月15日に公開され、シングルサインオン(SSO)、ID連携、API(アプリケーション・プログラミング・インターフェース)アクセスの裏側にあるトークンを対象としています。両機関によると、攻撃者がラテラルムーブメント(内部横展開)を行い機密データにアクセスするための標的として、これらのトークンを狙うケースが増加しているといいます。

新ガイダンスへの準拠は任意とされています。

ガイダンスが求める内容

報告書によると、アクセストークンおよびIDトークンの有効期間は最長でも1時間とすべきであり、期限切れのトークンは認可サービスおよびポリシー実施ポイントによって一切例外なく拒否されなければなりません。

鍵管理については、高インパクトシステム向けの署名鍵は少なくとも90日ごとにローテーションし、それ以外のシステムでも1年以内にローテーションすべきとしています。中インパクト以上のシステムでは、鍵はハードウェアで保護された、あるいは分離されたストレージに保管する必要があり、それらを使用するサーバー、仮想マシン、コンテナ上に恒常的に置いてはなりません。また、高インパクトシステムでは分離された実行環境内で署名を行う必要があります。

鍵は妥当な範囲でできる限り狭い範囲に限定して割り当てるべきであり、連邦政府の認可環境外で有効な鍵が、その環境内でトークンに署名することがあってはなりません。

すべてのトークンには明示的な「オーディエンス」フィールドを含める必要があり、これを含まないトークンを受け取ったアクセス制御機構はそのトークンを拒否しなければなりません。また、トークン自体やその中に含まれる個人データを、ログに記録してはなりません。

報告書は、AIエージェントがシステム、データ、APIにアクセスする際に署名付きトークンを利用するケースが増えていると指摘し、今回のガイダンスはこうした用途にも適用されるとしています。ただし、AIエージェントのアクセスに関するより広範なリスクは今回の対象範囲には含まれておらず、NISTとCISAはこの点について現在もガイドラインを策定中であるとしています。

ID保護関連の関連記事: 攻撃者がMETRのAPIキーを窃取、AIクレジット60万ドル分を消費

2件のトークン侵害を受けて作成

今回の報告書は、2件のインシデントを踏まえて作成されました。2020年に発生したサプライチェーン侵害では、Active Directory Federation Servicesを侵害した攻撃者がSAMLアサーションを偽造し、連邦政府機関を含む数千の組織で多要素認証(MFA)を回避しました。

2件目の事例では、外国の攻撃者が誤って流出した消費者向け署名鍵を悪用し、それを使ってトークンを偽造しました。トークン検証の不備により、この鍵はエンタープライズおよび政府системシステム内でも有効な署名を生成できてしまい、ある政府機関からは6万件を超えるメールが窃取されました。

CISAのサイバーセキュリティ担当エグゼクティブ・アシスタント・ディレクター代行であるクリス・ブテラ氏は、「IDは新たな境界線であり、その背後にあるトークンやアサーションは高度な攻撃者にとって格好の標的だ」と述べました。同氏は、このガイドラインによってトークン発行プロセスを強化する道筋が示され、盗まれた認証情報が連邦政府全体への足がかりとなる事態を防げると説明しています。

CISAによると、最終的な文書の内容には約250件のパブリックコメントが反映されているといいます。Google、Microsoft、Okta、Amazon Web Services、Oracle、IBM、HashiCorp、Wiz、OpenID Foundationの各社・団体が、CISAの「Joint Cyber Defense Collaborative」を通じて意見を提供しました。