أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) والمعهد الوطني للمعايير والتقنية (NIST) إرشادات نهائية لحماية رموز الهوية السحابية والتأكيدات من مخاطر السرقة والتزوير وإساءة الاستخدام. تستهدف هذه الإرشادات الوكالات الفيدرالية ومقدمي الخدمات السحابية والمؤسسات المتعاملة معهم.
يغطي التقرير المشترك، الذي يحمل الرقم 8587 والصادر في 15 سبتمبر، الرموز الأساسية التي تعتمد عليها أنظمة تسجيل الدخول الأحادي (SSO)، واتحاد الهوية، والوصول عبر واجهات برمجة التطبيقات (API). تأتي هذه الخطوة استجابة لتزايد استهداف المهاجمين لهذه الرموز بهدف التحرك أفقياً داخل الشبكات والوصول إلى البيانات الحساسة.
المتطلبات الفنية لإدارة رموز الوصول والمفاتيح
تشترط الإرشادات ألا تتجاوز مدة صلاحية رموز الوصول والهوية ساعة واحدة، مع ضرورة الرفض القاطع للرموز منتهية الصلاحية من قبل خدمات التفويض ونقاط تنفيذ السياسات.
وعلى مستوى إدارة المفاتيح، يجب تدوير مفاتيح التوقيع للأنظمة عالية التأثير كل 90 يوماً كحد أقصى، وخلال عام واحد لبقية الأنظمة.
وبالنسبة للأنظمة ذات التأثير المتوسط وما فوق، يجب حفظ المفاتيح في وحدات تخزين مدعومة بالأجهزة أو معزولة، ويُمنع تخزينها بشكل دائم على الخوادم أو الأجهزة الافتراضية أو الحاويات. وتُلزم الأنظمة عالية التأثير بإجراء عمليات التوقيع داخل بيئة تنفيذ معزولة. كما يجب تضييق النطاق المنطقي للمفاتيح إلى أقصى حد، ويحظر استخدام مفتاح صالح خارج البيئات الفيدرالية المصرح بها لتوقيع رموز بداخلها.
ويتوجب أيضاً أن يتضمن كل رمز حقلاً صريحاً يحدد الجمهور المستهدف، وعلى آليات التحكم في الوصول رفض أي رمز يفتقر إلى هذا الحقل. ويُمنع منعاً باتاً كتابة الرموز أو أي بيانات شخصية داخل سجلات النظام.
تمتد هذه الإرشادات لتشمل وكلاء الذكاء الاصطناعي الذين يعتمدون بشكل متزايد على الرموز الموقعة للوصول إلى الأنظمة والبيانات وواجهات API، بينما تستبعد المخاطر الأوسع لوصول هؤلاء الوكلاء من نطاق هذا التقرير، حيث تواصل NIST و CISA تطوير مبادئ توجيهية منفصلة خاصة بها.
دوافع الإصدار والاستجابة للحوادث السيبرانية
يعود دافع إصدار هذه الإرشادات إلى حادثتين سيبرانيتين رئيسيتين؛ الأولى تتعلق باختراق سلاسل الإمداد في عام 2020، حيث نجح المهاجمون في اختراق خدمات اتحاد الدليل النشط (AD FS) وتزوير تأكيدات SAML لتجاوز آليات المصادقة متعددة العوامل في آلاف المؤسسات، بما في ذلك وكالات فيدرالية.
أما الحادثة الثانية فقد تورطت فيها جهات أجنبية استخدمت مفتاح توقيع مخصصاً للمستهلكين، والذي كُشف عنه بالخطأ، لتزوير رموز الوصول. وأدى الفشل في التحقق من صحة الرموز إلى إنتاج تواقيع صالحة داخل الأنظمة الحكومية والمؤسسية، ما أسفر عن سرقة أكثر من 60,000 رسالة بريد إلكتروني من إحدى الوكالات الفيدرالية.
وفي هذا السياق، أكد كريس بوتيرا، القائم بأعمال المدير المساعد التنفيذي للأمن السيبراني في CISA، أن الهوية الرقمية أصبحت المحيط الأمني الجديد، مشيراً إلى أن الإرشادات توفر مساراً عملياً لتعزيز إجراءات إصدار الرموز ومنع استخدام بيانات الاعتماد المسروقة كنقطة ارتكاز داخل البنية التحتية الفيدرالية.
تبلورت النسخة النهائية من هذا التقرير بعد مراجعة نحو 250 تعليقاً عاماً، وبمساهمة من شركات ومنظمات تقنية بارزة عبر مبادرة الدفاع السيبراني المشترك (JCDC)، شملت Google وMicrosoft وOkta وAmazon Web Services وOracle وIBM وHashiCorp وWiz ومؤسسة OpenID.
