Dağıtık Hesaplamada Token Güveni ve İzlenebilirliği: Bulgular ve Öneriler

İçindekiler

1 Giriş

Token Güveni ve İzlenebilirlik Çalışma Grubu (TTT), dağıtık hesaplama topluluklarında (WLCG, EGI, IGWN) X.509 sertifikalarından token tabanlı Kimlik Doğrulama ve Yetkilendirme Altyapısı'na (AAI) geçiş sırasındaki kritik zorlukları ele almaktadır. Bu paradigma değişimi, başlangıçta X.509 ve VOMS sistemleri için tasarlanmış politikaların ve süreçlerin yeniden düşünülmesini gerektirmektedir.

2 Token'lar, Güven ve İzlenebilirlik

2.1 Token Arka Planı

Başlangıçta ticari sağlayıcılar (Google, Microsoft) tarafından geliştirilen token tabanlı çözümler, dağıtık hesaplama altyapıları tarafından benimsenmektedir. Geçiş süreci, Indigo IAM, RCIAM, GEANT Core AAI Platform ve CILogon dahil olmak üzere OpenID Connect Sağlayıcılarını (OP) içermektedir.

2.2 Token Paradigmasında Güven Modelleri

Güven modeli, hiyerarşik PKI'den merkezi olmayan token tabanlı kimlik doğrulamaya kaymaktadır. Ana zorluklar arasında yayıncı doğrulama, token iptali ve çapraz etki alanı güven oluşturma yer almaktadır.

2.3 İzlenebilirlik Zorlukları

X.509 sistemlerine eşdeğer iş akışı izlenebilirliğinin sürdürülmesi, token ortamlarında sistem yöneticileri için yeni metodolojiler gerektiren önemli zorluklar sunmaktadır.

3 Teknik Uygulama

3.1 JWT Token Yapısı

JSON Web Token'ları (JWT) kritik alanlarla birlikte RFC9068 spesifikasyonunu takip eder:

• iss: Token yayıncı tanımlayıcısı
• sub: Konu (sertifikalardaki DN'ye eşdeğer)
• aud: Hedeflenen kitle
• scope: Yetkili eylemler
• jti: Benzersiz token tanımlayıcısı
• exp/iat/nbf: Zaman geçerlilik talepleri

3.2 Matematiksel Temeller

Token güvenliği kriptografik imzalara dayanır. Doğrulama süreci şu şekilde temsil edilebilir:

$\text{Doğrula}(token, anahtar) = \text{true} \iff \text{İmza}(başlık.yük) = \text{imza}$

Burada imza algoritması tipik olarak RS256 kullanır: $\text{RSASSA-PKCS1-v1_5 using SHA-256}$

3.3 Kod Uygulaması

// Örnek token doğrulama sözde kodu
function validateToken(token, issuerConfig) {
    // Token başlığını çöz
    const header = base64decode(token.split('.')[0]);
    
    // Yayıncının genel anahtarını kullanarak imzayı doğrula
    const signingKey = getPublicKey(issuerConfig.iss, header.kid);
    const isValid = verifySignature(token, signingKey);
    
    // Talepleri doğrula
    if (isValid) {
        const payload = getTokenPayload(token);
        return validateClaims(payload, {
            issuer: issuerConfig.iss,
            audience: expectedAudience,
            expiration: currentTime
        });
    }
    return false;
}

4 Deneysel Sonuçlar

Çalışma grubu, birden fazla middleware yığını üzerinde kapsamlı testler gerçekleştirdi. Temel bulgular şunları içerir:

5 Gelecek Uygulamalar

Token tabanlı AAI paradigması şu yeni yetenekleri sağlar:

• Araştırma altyapıları arasında federasyon kimlik
• Gerçek zamanlı niteliklere dayalı dinamik yetkilendirme
• Azaltılmış kimlik bilgisi yönetimiyle geliştirilmiş kullanıcı deneyimi
• Daha kısa ömürlü kimlik bilgileriyle geliştirilmiş güvenlik

6 Referanslar

1. Jones, M., vd. "JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens" RFC 9068 (2021)
2. WLCG Authorization Working Group. "Token-based AuthZ for WLCG" (2023)
3. Hardt, D. "The OAuth 2.0 Authorization Framework" RFC 6749 (2012)
4. Sakimura, N., vd. "OpenID Connect Core 1.0" (2014)