NIST与CISA发布最终版令牌安全指南，防止伪造、窃取与滥用

美国国家标准与技术研究院（NIST）与网络安全和基础设施安全局（CISA）正式发布《保护令牌与断言免受伪造、窃取和滥用》（NIST IR 8587），为数字系统中广泛使用的令牌提供实施指南，以维护其安全性。

该文件响应行政命令14306中对NIST的任务要求，并以NIST安全和隐私目录《特别出版物800-53》的近期更新为基础，旨在增强令牌及令牌管理的安全性。

NIST数字身份项目负责人Ryan Galluzzo表示，该文件主要为联邦机构及其合作的云服务提供商（CSP）编写，但任何处理身份令牌和相关身份断言的组织都可以参考。

作为该文件作者之一，Galluzzo指出，文件为如何适当保护令牌提供了实施考量，无论是政府还是商业行业，都可以从中获得洞察。

登录网络邮件等服务时，背后往往有令牌——一条标识用户及可访问资源（如收件箱、联系人或其他潜在敏感信息）的信息。保护这些令牌对于防止未授权访问至关重要。

令牌广泛应用于云计算和零信任架构，攻击者可在缺乏适当保护时利用令牌入侵敏感系统。报告援引一次攻击，外国行为者使用由单一被盗商业签名密钥伪造的令牌，从一家机构窃取了超过60,000封电子邮件。