Continuous Access Evaluation Protocol (CAEP)

CAEP korjaa tämän puutteen sallimalla Identity Providerien (IdP) jakaa tietoturvan kannalta merkityksellisiä tapahtumia Relying Partyille (RP) reaaliajassa.

Sen sijaan että RP:t tarkistaisivat tilanteen jatkuvasti, IdP:t lähettävät tärkeät päivitykset ennakoivasti. Näin käyttöoikeus voidaan arvioida jatkuvasti, ei vain tunnisteen myöntämisen yhteydessä.

OAuth2:n ja OIDC:n tavoin CAEP:hen osallistuu keskeisiä toimijoita:

• Identity Provider (IdP): käyttäjätietojen ensisijainen lähde. Se havaitsee ja julkaisee tietoturvatapahtumat.
• Relying Party (RP): sovellus tai palvelu, joka käyttää IdP:tä todentamiseen. Se tilaa ja käsittelee nämä tietoturvatapahtumat.

Prosessi noudattaa yleensä julkaisija–tilaaja-mallia:

1. IdP havaitsee tietoturvatapahtuman, kuten salasanan palautuksen.
2. IdP julkaisee standardoidun CAEP-tapahtuman ilmoituspäätepisteeseen.
3. Tapahtumiin ilmoittautunut RP vastaanottaa ilmoituksen.
4. RP ryhtyy heti toimiin, esimerkiksi peruuttaa aktiiviset istunnot tai muuttaa kyseisen käyttäjän käyttöoikeuksia.

CAEP määrittelee erilaisia tietoturvatapahtumatyyppejä. Yleisiä esimerkkejä ovat:

• Tilin tilan muutokset: käyttäjätili poistetaan käytöstä, poistetaan tai aktivoidaan uudelleen.
• Tunnistetietojen muutokset: salasana vaihdetaan tai MFA otetaan käyttöön tai poistetaan käytöstä.
• Istunnon peruuttaminen: aktiivinen istunto lopetetaan.
• Epäilyttävä toiminta: IdP havaitsee epätavallista toimintaa, kuten mahdottoman matkareitin tai brute-force-yrityksen.

CAEP:n käyttöönotto tuo merkittäviä hyötyjä:

• Parantunut tietoturva: pienentää haavoittuvuusikkunaa ja reagoi uhkiin välittömästi.
• Pienempi riski: vähentää vaarantuneiden tilien mahdollista aiheuttamaa vahinkoa.
• Parempi vaatimustenmukaisuus: auttaa täyttämään jatkuvaa valvontaa ja nopeaa reagointia koskevat sääntelyvaatimukset.
• Parempi käyttäjäkokemus: tarpeettomat uudelleentodennukset voidaan välttää toimimalla vain silloin, kun se on todella tarpeen.

CAEP täydentää nykyisiä tietoturvatoimia eikä korvaa niitä:

• Token Introspection: RP hakee tunnisteen tilan pyynnöstä, mikä voi olla hidasta.
• Token Revocation: IdP merkitsee tunnisteen virheelliseksi, mutta RP saa tiedon vasta seuraavan validoinnin yhteydessä.
• CAEP: IdP lähettää tapahtumat reaaliajassa, jolloin RP:t voivat ennakoivasti mitätöidä istuntoja tai vähentää käyttöoikeuksia heti.

Seuraavat tilanteet ovat CAEP:n ansiosta mahdollisia:

• Ylläpitäjä poistaa käyttäjätilin käytöstä. Kaikki kyseisen käyttäjän aktiiviset istunnot lopetetaan välittömästi kaikissa tapahtumiin ilmoittautuneissa sovelluksissa.
• Käyttäjä vaihtaa salasanansa. Relying Party -osapuolet peruuttavat automaattisesti kaikki vanhalla salasanalla yhä aktiiviset istunnot.
• IdP havaitsee epäilyttävän kirjautumisyrityksen epätavallisesta sijainnista. Tapahtumiin ilmoittautuneet RP:t voivat heti vähentää käyttäjän käyttöoikeuksia tai pakottaa uudelleentodennukseen.

Onnittelut! Olette suorittaneet CAEP-oppitunnin.

Opimme, että CAEP tarjoaa keskeisen mekanismin reaaliaikaiseen tietoturvatapahtumien jakamiseen identiteetintarjoajien ja luottavien osapuolten välillä. Tämä mahdollistaa jatkuvan käyttöoikeuksien arvioinnin ja parantaa tietoturvaa merkittävästi, koska käyttäjän tietoturvatilan muutoksiin voidaan reagoida nopeasti.

Tähän päättyy Future Trends -kurssinne!