Continuous Access Evaluation Protocol (CAEP)

CAEP løser dette problemet ved å la Identity Providers (IdP-er) dele sikkerhetsrelevante hendelser med Relying Parties (RP-er) i sanntid.

I stedet for at RP-er hele tiden kontrollerer status, «skyver» IdP-er kritiske oppdateringer proaktivt. Det betyr at tilgangen kan evalueres kontinuerlig, ikke bare når tokenet utstedes.

Akkurat som OAuth2 og OIDC involverer CAEP noen sentrale aktører:

• Identity Provider (IdP): Kilden til sannheten for brukeridentiteter. Den oppdager og publiserer sikkerhetshendelser.
• Relying Party (RP): Applikasjonen eller tjenesten som er avhengig av IdP-en for autentisering. Den abonnerer på og bruker disse sikkerhetshendelsene.

Prosessen følger vanligvis en publiserings- og abonnementsmodell:

1. IdP-en oppdager en sikkerhetshendelse (for eksempel tilbakestilling av passord).
2. IdP-en publiserer en standardisert CAEP-hendelse til et varslingsendepunkt.
3. RP-en, som abonnerer på disse hendelsene, mottar varselet.
4. RP-en iverksetter deretter umiddelbare tiltak, for eksempel tilbakekaller aktive økter eller endrer tilgangsrettighetene for den berørte brukeren.

CAEP definerer ulike typer sikkerhetshendelser. Noen vanlige eksempler er:

• Endringer i kontostatus: Brukeren deaktiveres, slettes eller aktiveres på nytt.
• Endringer i legitimasjon: Passordet endres, eller MFA registreres eller fjernes.
• Tilbakekalling av økt: En aktiv økt avsluttes.
• Mistenkelig aktivitet: IdP-en oppdager uvanlig atferd (for eksempel umulig reise eller et brute-force-forsøk).

Implementering av CAEP gir betydelige fordeler:

• Forbedret sikkerhet: Lukker sårbarhetsvinduet og reagerer umiddelbart på trusler.
• Redusert risiko: Minimerer den mulige skaden fra kompromitterte kontoer.
• Bedre etterlevelse: Bidrar til å oppfylle regulatoriske krav til kontinuerlig overvåking og rask respons.
• Bedre brukeropplevelse: Kan unngå unødvendig ny autentisering ved å bare iverksette tiltak når det faktisk er nødvendig.

CAEP supplerer, i stedet for å erstatte, eksisterende sikkerhetstiltak:

• Token introspection: RP-en henter tokenstatus ved behov, noe som kan være tregt.
• Tilbakekalling av token: IdP-en markerer et token som ugyldig, men RP-en får først vite det ved neste validering.
• CAEP: IdP-en skyver hendelser i sanntid, slik at RP-er proaktivt kan ugyldiggjøre økter eller redusere rettigheter umiddelbart.

Se for deg disse scenarioene som CAEP muliggjør:

• En administrator deaktiverer en brukers konto. Alle aktive økter for brukeren på tvers av alle applikasjoner som abonnerer, avsluttes umiddelbart.
• En bruker endrer passordet sitt. Alle gamle økter som fortsatt er aktive med det forrige passordet, tilbakekalles automatisk av Relying Parties.
• IdP-en oppdager et mistenkelig innloggingsforsøk fra et uvanlig sted. Abonnerende RP-er kan umiddelbart redusere brukerens tilgangsrettigheter eller kreve ny autentisering.

Gratulerer! De har fullført leksjonen om CAEP.

Vi har lært at CAEP tilbyr en avgjørende mekanisme for sikkerhetshendelsesdeling i sanntid mellom identitetsleverandører og relying parties. Dette muliggjør kontinuerlig evaluering av tilgang og forbedrer sikkerheten betydelig ved å tillate raske reaksjoner på endringer i en brukers sikkerhetstilstand.

Dette avslutter kurset vårt om «Fremtidige trender»!