Anta standard-SDK:er för identitet (Secure Future Initiative)

Pelarnamn: Skydda identiteter och hemligheter
Mönsternamn: Anta standard-SDK:er för identitet

Mönstret "Anta standard-SDK:er för identitet" är en del av grundpelaren för skydd av identiteter och hemligheter i Secure Future Initiative (SFI), som fokuserar på att härda autentisering, eliminera ohanterade autentiseringsuppgifter, framtvinga Zero Trust principer och skydda kryptografiska nycklar. Det säkerställer att identiteten är verifierbar, att åtkomsten är granskningsbar och att hemligheter försvaras med stränghet i hela den digitala egendomen.

Kontext och problem

År 2023 avslöjade Storm-0558-incidenten inkonsekvenser i Microsofts identitetsinfrastruktur: olika metoder för tokenvalidering mellan tjänster skapade sårbarheter för identitetsbaserade attacker, orsakade autentiseringsproblem för kunder och gav angripare obehörig åtkomst till skyddade resurser som e-postkonton. Olika team implementerade autentiseringslogik oberoende av varandra och förlitade sig ofta på anpassad kod eller inaktuella bibliotek som skapade sårbarheter.

Den här fragmenteringen skapade exploaterbara sömmar i tillämpningen – där lite olika tolkningar av identitetsanspråk eller tokenvalidering kan ge skadlig åtkomst till känsliga system.  Även mindre variationer i hanteringen av token-signaturer eller tillämpningen av omfattning var tillräckliga för att tillåta förfalskade token att passera säkerhetskontroller.

Lösning

För att åtgärda detta introducerade Microsoft ett nytt mål under grundpelarna Skydda identiteter och hemligheter i Secure Future Initiative: anta en enda standardiserad identitets-SDK för tokenverifiering.

Den här SDK:n konsoliderar logiken för identitetsframtvingande till ett säkerhetshärdat och väl underhållet bibliotek.

Viktiga funktioner är:

  • Konsekvent validering av tokenanspråk, omfång, signaturer och utfärdare
  • Flexibel hantering av signeringsnycklar och dekryptera metadata för nycklar
  • Inbyggd telemetri för säkerhetsövervakning och granskningsberedskap
  • Stöd för tekniker som Kontinuerlig åtkomstutvärdering (CAE) som implementerar Zero Trust-principen om att uttryckligen validera alla åtkomstbegäranden
  • Säkra standardinställningar som förenklar implementeringen av utvecklare

Microsofts interna tokenvaliderings-SDK används på större Microsoft-utvecklingsplattformar och är integrerad med Microsoft Entra, vilket säkerställer konsekvens i stor skala.

Sedan det här mönstret distribuerades har Microsoft ersatt decentraliserad autentiseringslogik mellan tjänster med SDK-baserad validering. Det centraliserade SDK:t tillhandahåller en enhetlig metod för att verifiera identitet och framtvinga principer – stänga farliga inkonsekvenser och göra det möjligt för Microsoft att svara snabbare på tokenbaserade hot. 

I april 2025 verifierades 90% av identitetstoken som utfärdats av Microsoft Entra ID för Microsoft-program med standard-SDK– en ökning från 73% bara sex månader tidigare.

Vägledning

Organisationer kan använda ett liknande mönster med hjälp av följande användbara metoder:

Användningsfall Rekommenderad åtgärd Resource
Konsekvent autentisering
  • Använd Microsoft Authentication Library (MSAL) för att förenkla och standardisera autentiseringsflöden mellan program.
  • För tjänster på .NET använda Microsoft.Identity.Web som omsluter MSAL.
Tokenhantering Anta SDK-funktioner som på ett säkert sätt hämtar, cachelagrar och uppdaterar token i stället för att skapa anpassad tokenhanteringslogik. Förvärva och använda en åtkomsttoken – Microsoft Authentication Library för JavaScript | Microsoft Learn
Säkerhetens bästa praxis Använd inbyggda SDK-funktioner som säkra standardvärden, tokenvalidering och certifikathantering för att minska felkonfigurationer. Skydda program och API:er genom att verifiera anspråk | Microsoft Learn
Integrering med Microsofts identitetsplattform Använd SDK:er för att ansluta program med Microsoft Entra ID och aktivera moderna autentiseringsprotokoll som OAuth 2.0 och OpenID Connect. En översikt över Microsoft identity platform | Azure Docs

Fördelar

  • Förbättrad säkerhetsstatus genom att eliminera fragmenterad tokenverifiering.
  • Snabbare incidenthantering med centraliserad loggning och principframtvingande.
  • Minskade tekniska skulder via hanterad SDK-versionshantering och säkra standardvärden.
  • Bättre utvecklarupplevelse via förenklade autentiseringsbibliotek.
  • Förbättrad granskning och konsekvent tillämpning av åtkomstprinciper.

Trade-offs

  • Refaktorisering krävs: Äldre system måste uppdateras eller återskapas för att använda SDK:t.
  • Utvecklarutbildning: Teams fick lära sig nya identitetsbibliotek och arbetsflöden.
  • Styrningskomplexitet: Versionshantering och distribution av SDK krävde tillsyn och samordning.

Viktiga framgångsfaktorer

Mät följande för att spåra framgång:

  • Procentandel program som använder standard-SDK för tokenverifiering
  • Genomsnittlig tid för att identifiera och svara på tokenmissbruk
  • Minskning av tokenrelaterade sårbarheter eller incidenter
  • Antal granskningsfel som är knutna till icke-standardimplementeringar av identiteter
  • Utvecklarimplementering och supporttillfredsställelse med SDK

Sammanfattning

Tokenverifiering är en grundläggande kontroll i identitetssäkerhet. Variationer i hur det implementeras mellan tjänster kan medföra osynliga risker, fördröja incidenthantering och urholka förtroendet för säkerhetskontroller. Genom att införa en enda säker SDK för verifiering av identitetstoken stängde Microsoft kritiska luckor, standardiserad tillämpning och skapade en starkare grund för Zero Trust åtgärder.

Genom att använda standard-SDK:er för identitet kan du eliminera fragmenterad autentiseringslogik och stärka integriteten i organisationens identitetssäkerhet.

  • Last updated on