Доверие и отслеживаемость токенов в распределённых вычислениях: выводы и рекомендации

Содержание

1 Введение

Рабочая группа по доверию и отслеживаемости токенов (TTT) решает критические проблемы в сообществах распределённых вычислений (WLCG, EGI, IGWN) в ходе перехода от сертификатов X.509 к токенной инфраструктуре аутентификации и авторизации (AAI). Эта смена парадигмы требует переосмысления политик и процессов, изначально разработанных для систем X.509 и VOMS.

2 Токены, доверие и отслеживаемость

2.1 Основы токенов

Токенные решения, изначально разработанные коммерческими поставщиками (Google, Microsoft), внедряются инфраструктурами распределённых вычислений. Переход включает поставщиков OpenID Connect (OP), таких как Indigo IAM, RCIAM, GEANT Core AAI Platform и CILogon.

2.2 Модели доверия в парадигме токенов

Модель доверия смещается от иерархической PKI к децентрализованной токенной аутентификации. Ключевые проблемы включают проверку эмитента, отзыв токенов и установление доверия между доменами.

2.3 Проблемы отслеживаемости

Сохранение отслеживаемости рабочих процессов, эквивалентной системам X.509, представляет значительные трудности в токенных средах, требуя новых методик для системных администраторов.

3 Техническая реализация

3.1 Структура JWT-токена

JSON Web Tokens (JWT) следуют спецификации RFC9068 с критическими полями:

• iss: Идентификатор эмитента токена
• sub: Субъект (эквивалентно DN в сертификатах)
• aud: Целевая аудитория
• scope: Авторизованные действия
• jti: Уникальный идентификатор токена
• exp/iat/nbf: Утверждения временной действительности

3.2 Математические основы

Безопасность токенов основана на криптографических подписях. Процесс проверки можно представить как:

$\\text{Verify}(token, key) = \\text{true} \\iff \\text{Signature}(header.payload) = \\text{signature}$

Где алгоритм подписи обычно использует RS256: $\\text{RSASSA-PKCS1-v1_5 using SHA-256}$

3.3 Реализация кода

// Пример псевдокода проверки токена
function validateToken(token, issuerConfig) {
    // Декодировать заголовок токена
    const header = base64decode(token.split('.')[0]);
    
    // Проверить подпись с использованием открытого ключа эмитента
    const signingKey = getPublicKey(issuerConfig.iss, header.kid);
    const isValid = verifySignature(token, signingKey);
    
    // Проверить утверждения
    if (isValid) {
        const payload = getTokenPayload(token);
        return validateClaims(payload, {
            issuer: issuerConfig.iss,
            audience: expectedAudience,
            expiration: currentTime
        });
    }
    return false;
}

4 Результаты экспериментов

Рабочая группа провела обширное тестирование в нескольких стеках промежуточного программного обеспечения. Ключевые выводы включают:

5 Перспективные приложения

Токенная парадигма AAI обеспечивает новые возможности, включая:

• Федеративную идентификацию между исследовательскими инфраструктурами
• Динамическую авторизацию на основе атрибутов в реальном времени
• Улучшенный пользовательский опыт за счёт сокращения управления учётными данными
• Повышенную безопасность за счёт краткосрочных учётных данных

6 Ссылки

1. Jones, M., et al. "JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens" RFC 9068 (2021)
2. WLCG Authorization Working Group. "Token-based AuthZ for WLCG" (2023)
3. Hardt, D. "The OAuth 2.0 Authorization Framework" RFC 6749 (2012)
4. Sakimura, N., et al. "OpenID Connect Core 1.0" (2014)