Token Akses: NIST Finalisasi Panduan Perlindungan

Saat seseorang membuka layanan surat elektronik atau aplikasi daring, ada informasi yang bekerja di balik layar untuk mengenali pengguna dan menentukan sumber daya yang boleh diakses. Token akses menjadi bagian penting dalam proses tersebut. NIST bersama CISA kini merampungkan panduan untuk membantu organisasi melindungi token dari pemalsuan, pencurian, dan penyalahgunaan.

Perlindungan token akses dalam sistem digital

Publikasi berjudul Protecting Tokens and Assertions from Forgery, Theft, and Misuse atau NIST IR 8587 itu berisi panduan penerapan untuk menjaga keamanan token yang digunakan dalam berbagai sistem digital. Dokumen tersebut menindaklanjuti penugasan NIST melalui Executive Order 14306 dan dikembangkan berdasarkan pembaruan terhadap Special Publication 800-53, katalog perangkat keamanan dan privasi milik NIST.

Menurut Ryan Galluzzo, pemimpin Program Identitas Digital NIST sekaligus salah satu penulis publikasi, panduan itu terutama ditujukan bagi lembaga federal dan penyedia layanan cloud yang bekerja sama dengan mereka. Namun, organisasi lain yang mengelola token identitas serta bentuk pernyataan identitas terkait juga dapat memanfaatkannya.

Risiko token yang tidak terlindungi

Layanan seperti surat elektronik berbasis web dan pencadangan data banyak bergantung pada server jarak jauh yang membutuhkan otorisasi. Token membawa informasi pengguna yang dilindungi secara kriptografis dan dapat digunakan dalam autentikasi. Teknologi ini juga mendukung single sign-on, sehingga pengguna bisa memakai beberapa aplikasi tanpa terus-menerus melakukan autentikasi ulang.

Token digunakan secara luas dalam infrastruktur digital dan menjadi bagian penting dari arsitektur zero trust. Namun, perlindungan yang tidak memadai dapat dimanfaatkan untuk menembus sistem sensitif. Dalam salah satu serangan yang dicantumkan dalam laporan, aktor asing mengakses sistem surat elektronik sebuah lembaga menggunakan token palsu yang dibuat dari satu kunci penandatangan komersial yang dicuri. Lebih dari 60.000 email dari satu lembaga berhasil diambil.

Publikasi tersebut memuat prinsip bagi lembaga federal dan penyedia layanan cloud. Lembaga perlu memahami cara mengonfigurasi layanan secara tepat, sementara penyedia harus menghadirkan produk yang aman. Para penulis juga merevisi draf awal berdasarkan masukan pembaca, dengan dukungan mitra industri seperti Joint Cyber Defense Collaborative. Berita teknologi lainnya dapat dibaca di arsip kategori terkait. Rujukan lengkap tersedia dalam publikasi NIST.