Kepercayaan dan Kebolehkesanan Token dalam Pengkomputeran Teragih: Penemuan dan Cadangan

Kandungan

1 Pengenalan

Kumpulan Kerja Kepercayaan dan Kebolehkesanan Token (TTT) menangani cabaran kritikal dalam komuniti pengkomputeran teragih (WLCG, EGI, IGWN) semasa peralihan daripada sijil X.509 kepada Infrastruktur Pengesahan dan Pemberian Kuasa (AAI) berasaskan token. Peralihan paradigma ini memerlukan pemikiran semula tentang polisi dan proses yang pada asalnya direka untuk sistem X.509 dan VOMS.

2 Token, Kepercayaan dan Kebolehkesanan

2.1 Latar Belakang Token

Penyelesaian berasaskan token, yang pada asalnya dibangunkan oleh pembekal komersial (Google, Microsoft), sedang diambil pakai oleh infrastruktur pengkomputeran teragih. Peralihan ini melibatkan Pembekal OpenID Connect (OP) termasuk Indigo IAM, RCIAM, Platform AAI Teras GEANT, dan CILogon.

2.2 Model Kepercayaan dalam Paradigma Token

Model kepercayaan beralih daripada PKI berhierarki kepada pengesahan berasaskan token terpencar. Cabaran utama termasuk pengesahan pengeluar, pembatalan token, dan penubuhan kepercayaan rentas domain.

2.3 Cabaran Kebolehkesanan

Mengekalkan kebolehkesanan aliran kerja yang setara dengan sistem X.509 memberikan cabaran besar dalam persekitaran token, memerlukan metodologi baharu untuk pentadbir sistem.

3 Pelaksanaan Teknikal

3.1 Struktur Token JWT

Token Web JSON (JWT) mengikut spesifikasi RFC9068 dengan medan kritikal:

• iss: Pengenal pengeluar token
• sub: Subjek (setara dengan DN dalam sijil)
• aud: Kumpulan sasaran
• scope: Tindakan yang dibenarkan
• jti: Pengenal token unik
• exp/iat/nbf: Tuntutan kesahihan masa

3.2 Asas Matematik

Keselamatan token bergantung pada tandatangan kriptografi. Proses pengesahan boleh diwakili sebagai:

$\\text{Verify}(token, key) = \\text{true} \\iff \\text{Signature}(header.payload) = \\text{signature}$

Di mana algoritma tandatangan biasanya menggunakan RS256: $\\text{RSASSA-PKCS1-v1_5 using SHA-256}$

3.3 Pelaksanaan Kod

// Contoh pseudokod pengesahan token
function validateToken(token, issuerConfig) {
    // Dekod kepala token
    const header = base64decode(token.split('.')[0]);
    
    // Sahkan tandatangan menggunakan kunci awam pengeluar
    const signingKey = getPublicKey(issuerConfig.iss, header.kid);
    const isValid = verifySignature(token, signingKey);
    
    // Sahkan tuntutan
    if (isValid) {
        const payload = getTokenPayload(token);
        return validateClaims(payload, {
            issuer: issuerConfig.iss,
            audience: expectedAudience,
            expiration: currentTime
        });
    }
    return false;
}

4 Keputusan Eksperimen

Kumpulan kerja menjalankan ujian meluas merentas pelbagai timbunan perisian pertengahan. Penemuan utama termasuk:

5 Aplikasi Masa Depan

Paradigma AAI berasaskan token membolehkan keupayaan baharu termasuk:

• Identiti teragih merentas infrastruktur penyelidikan
• Pemberian kuasa dinamik berdasarkan atribut masa nyata
• Pengalaman pengguna yang lebih baik melalui pengurusan kelayakan yang dikurangkan
• Keselamatan yang dipertingkatkan melalui kelayakan jangka hayat lebih pendek

6 Rujukan

1. Jones, M., et al. "JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens" RFC 9068 (2021)
2. WLCG Authorization Working Group. "Token-based AuthZ for WLCG" (2023)
3. Hardt, D. "The OAuth 2.0 Authorization Framework" RFC 6749 (2012)
4. Sakimura, N., et al. "OpenID Connect Core 1.0" (2014)