美政府积极推进零信任身份改造，NIST 将发布首份全面身份管理指南
安全内参消息，为了避免类似SolarWinds的事件重演（恶意黑客利用IT管理外包商的访问权限与低下的身份管理水平，至少入侵了九个联邦部门），身份验证服务商越来越受到高度关注。不过日前一次研讨会上，负责相关工作的美国政府官员强调，具体实施还需要各方机构积极参与。 技术专家杰里米•格兰特（Jeremy Grant）表示，“经历SolarWinds事件后，每一家行业领先的身份验证服务商都能感受到业务更好做了。” 格兰特目前是Venable律师事务所负责技术业务战略的常务董事。在美国国家标准与技术研究院（NIST）制定关键基础设施安全性改进路线图期间，他曾经提供了身份与认证管理方面的建议。 说起市面上的顶尖身份验证提供商，如Ping、Okta、Forgerock以及微软Active Directory Federation Services（ADFS）等，他认为“在关于到底该选择哪家提供商方面，之前的争议一直比较玄学，类似于可口可乐和百事可乐到底哪种更好喝。” 周二（8月2日），参加先进技术研究中心在线会议的联邦官员普遍认为，任何机构的决策都包含大量主观性因素。因此，他们将更多关注机构所必需的通用基础要素，对具体供应商或安全方法的选择不做关注，仅视为达成管理和预算办公室（OBM）发布的建立“零信任”系统指令的手段。 网络安全和基础设施安全局（CISA）发布公告称，在SolarWinds事件曝光后，各机构纷纷开始寻求解决之道。SolarWinds事件中，恶意黑客使用微软ADFS劫持了系统管理员的凭证，借此在目标网络上横向移动。第14028号总统行政令要求，各机构应优先建立以零信任为核心的身份和访问管理系统，根据特定角色（例如人力资源人员）和属性（例如所在位置）为其授予查看/编辑某些资产的相应权限。 网络安全和基础设施安全局的格兰•达舍（Grant Dasher）提到，“CISA在政府的身份空间中有望发挥更大作用。我们正努力提供更多指导，包括零信任成熟度模型和云安全参考架构。相信这一领域将很快出现更多解决方案。” 达舍表示，各机构最应该从SolarWinds事件中吸取的教训之一，就是“充分了解基础设施内的信任边界和接触面。” 他表示，“只要认真研究过特定架构的设计方式，就会意识到某些联合凭证虽然使用频繁，但却不一定该被纳入管理员账户。也许我们可以为云管理员账户设置一个单独的信任根，把它的权限范围收窄，这样才不会影响到原有（本地资产）的所有接触面。” 技术专家马特•托珀（Matt Topper）透露，NIST正在更新关于身份和访问管理的出版物文件，并将“发布有史以来第一份关于联邦指导的真实、专用文件。”这份文件不仅希望能在机构之间开展身份验证，还要求在机构及其外包商/普通民众间开展身份验证。托珀是联邦身份访问供应商Uberether的总裁，也是ATARC网络研讨会的小组成员。 外包供应商尤为重要，因为这些托管服务提供商已经成为高水平恶意黑客的切入点，而且很难搞清楚，到底该由谁监督外包商们对政府系统的访问活动。 托珀表示，“我总是开玩笑地说，那些已经为机构工作了很长时间的外包商，掌握的访问权限甚至比机构主管还要高。这是因为我们在重新认证外包商访问权限上做得不够好。当他们解约又签约之后，原有权限并没有被收回，所以随着时间推移访问范围也就越来越大。我们曾为国防部做过很多工作，大家可能想象不到，就连「谁负责管理外包商？」「外包商在访问网络时出了麻烦，该由谁担责？」这样的问题都很难有明确的答案。” 托珀也表示，“我们最终还是达到了CISA对主用户记录/主设备记录的管理能力要求……开始将这些信息整合起来，以确保数据是干净的。” 卫生与公民服务部首席信息官杰拉尔德·卡隆（Gerald Caron）在会议最后总结道，“无论是借助Ping、Okta或ADFS”，联合身份“都是一件好事……毕竟包括我自己在内，没人愿意硬记几十种应用程序上的用户名和密码。” 转自 安全内参，原文链接：https://www.secrss.com/articles/45404 封面来源于网络，如有侵权请联系删除
美政府正在对量子计算机对加密技术构成的威胁做准备
在现在跟黑客直接对抗之时，美国政府官员正在为另一个更长期的威胁做准备：攻击者现在正在收集敏感的加密数据并希望他们能在未来的某个时候将其解锁。这种威胁来自于量子计算机，它的工作方式跟我们今天使用的经典计算机非常不同。 它们使用的不是由1和0组成的传统比特，而是可以同时代表不同数值的量子比特。量子计算机的复杂性可以让它们在执行某些任务时速度更快、使它们能够解决现代机器几乎不可能解决的问题–包括破解目前用于保护个人、商业和国家机密等敏感数据的许多加密算法。 虽然量子计算机仍处于起步阶段且令人难以置信得昂贵并充满问题，但官员们指出，保护国家免受这一长期危险的努力需要现在就开始。 美国家标准与技术研究所(NIST)的数学家Dustin Moody指出：“民族国家的对手得到一台大型量子计算机并能够获取你的信息，这种威胁是真实的。威胁是他们复制下你的加密数据并保留它，直到他们拥有一台量子计算机。” 面对这种“现在收获，以后解密”的策略，官员们正在试图开发和部署新的加密算法以保护机密能够对抗一类新兴的强大机器。这当中包括国土安全部，其称自己正在领导一个漫长而艰难的过渡，即所谓的后量子密码学。 Tim Maurer表示：“我们不希望出现这样的情况：某天早上我们醒来，发现有一个技术突破，然后我们不得不在几个月内完成三或四年的工作–与此相关的所有额外风险。” 美国土安全部最近发布了一份过渡路线图，它首先是呼吁对政府内部和商业世界的最敏感数据进行分类。Maurer表示，这是至关重要的第一步，“看看哪些部门已经在这样做了，哪些部门需要援助或意识从而确保他们现在采取行动”。 提前做好准备 专家表示，量子计算机要完成任何有用的工作可能还需要十年或更长时间，但随着资金的涌入，为实现这一目标而进行的竞赛正在让一切发生。 领导NIST后量子密码学项目的Moody表示，美国通过NIST自2016年以来一直在举行一项竞赛，其目的是在2024年之前产生第一个防量子计算机的算法。 过渡到新密码学则是一项众所周知的棘手而漫长的任务，并且很容易遭到忽视。要让营利性组织在抽象的未来威胁成为现实之前的几年里为这种威胁花钱是很困难的。 Maurer表示：“如果组织现在不考虑转型，那么他们会在NIST程序完成时变得不知所措，紧迫感也会随之而来，这就增加了意外事件的风险……匆忙进行任何此类转型都不是一个好主意。” 随着越来越多的组织开始考虑迫在眉睫的威胁，一个小而有活力的行业已经兴起，已经有公司在销售承诺后量子加密技术的产品。但美国国土安全部官员已经明确警告不要购买这些产品，因为对这种系统需要如何工作仍没有共识。该部门在上个月发布的一份文件中明确表示：“各组织应该等待，直到有强大的、标准化的商业解决方案来实施即将到来的NIST建议，以此来确保互操作性以及经过严格审查和全球接受的解决方案。” 专家们对过渡期会如何进行则持悲观态度。 如果量子计算机需要很长时间才能达到解决有用问题的程度，“我认为公司将要忘记炒作、实施NIST提出的最弱的东西，一直到30年后突然想起这个问题，”正在跟NIST研究后量子加密算法的IBM密码学家Vadim Lyubashevsky说道。 而这正是美国家安全官员想要避免的情况。 （消息及封面来源：cnBeta）