El NIST y la CISA ultiman un manual de estrategias para impedir el robo y la falsificación de tokens

Dos or­ga­nis­mos ofi­cia­les han con­clui­do la ela­bo­ra­ción de una guía orien­ta­da a pre­ve­nir la fal­si­fi­ca­ción, el robo y el uso in­de­bi­do de to­kens de ac­ce­so e iden­ti­dad, di­ri­gi­da a pro­vee­do­res de ser­vi­cios en la nube y agen­cias fe­de­ra­les. El do­cu­men­to de­ta­lla mé­to­dos para op­ti­mi­zar la ve­ri­fi­ca­ción de to­kens, la ges­tión de cla­ves y los con­tro­les du­ran­te el ciclo de vida de estos ele­men­tos, abar­can­do tam­bién la ad­mi­nis­tra­ción y el di­se­ño de ser­vi­do­res de au­to­ri­za­ción e iden­ti­da­des tanto para el ám­bi­to gu­ber­na­men­tal como para el co­mer­cial.

El ma­te­rial des­ta­ca la im­por­tan­cia de pro­te­ger estos com­po­nen­tes di­gi­ta­les, los cua­les fa­ci­li­tan la au­ten­ti­ca­ción, per­mi­ten el ini­cio de se­sión único y res­pal­dan es­que­mas de se­gu­ri­dad de con­fian­za cero al va­li­dar las so­li­ci­tu­des de ac­ce­so a re­cur­sos. Una pro­tec­ción de­fi­cien­te puede de­ri­var en ac­ce­sos ma­li­cio­sos a sis­te­mas con­fi­den­cia­les, como un in­ci­den­te pre­vio donde ac­to­res ex­tran­je­ros em­plea­ron cla­ves co­mer­cia­les ro­ba­das para for­jar to­kens y sus­traer miles de co­rreos elec­tró­ni­cos de una agen­cia es­ta­tal.

Las re­co­men­da­cio­nes abar­can sis­te­mas de ges­tión de ac­ce­so e iden­ti­dad que em­plean crip­to­gra­fía asi­mé­tri­ca y afir­ma­cio­nes fir­ma­das di­gi­tal­men­te, en­fa­ti­zan­do el cui­da­do de las lla­ves crip­to­grá­fi­cas, la va­li­da­ción pre­via de los to­kens y as­pec­tos como la re­vo­ca­ción, el tiem­po de vida y el re­gis­tro de even­tos. Asi­mis­mo, el texto de­li­mi­ta las obli­ga­cio­nes de los pro­vee­do­res en la nube y de los clien­tes, se­ña­lan­do que la coope­ra­ción entre ambas par­tes es fun­da­men­tal para ges­tio­nar in­ci­den­tes, com­par­tir se­ña­les de se­gu­ri­dad y re­vo­car ac­ce­sos.

Fi­nal­men­te, el do­cu­men­to acon­se­ja apli­car estas me­di­das de pro­tec­ción a los agen­tes de in­te­li­gen­cia ar­ti­fi­cial que uti­li­cen to­kens fir­ma­dos, aun­que ad­vier­te que di­chos agen­tes plan­tean retos adi­cio­na­les que re­que­ri­rán nor­ma­ti­vas fu­tu­ras, y su­gie­re pre­pa­rar­se para la fu­tu­ra tran­si­ción hacia la crip­to­gra­fía post-cuán­ti­ca iden­ti­fi­can­do el uso de la crip­to­gra­fía de clave pú­bli­ca en los sis­te­mas de iden­ti­dad.