分散式運算中的權杖信任與可追溯性：研究發現與建議

目錄

1 簡介

權杖信任與可追溯性工作小組（TTT）旨在解決分散式運算社群（WLCG、EGI、IGWN）從X.509憑證轉向基於權杖的驗證與授權基礎架構（AAI）過程中的關鍵挑戰。此典範轉移需要重新審視原本為X.509和VOMS系統設計的政策與流程。

2 權杖、信任與可追溯性

2.1 權杖背景

基於權杖的解決方案最初由商業供應商（Google、Microsoft）開發，現正被分散式運算基礎架構採用。此轉型涉及包括Indigo IAM、RCIAM、GEANT Core AAI Platform和CILogon在內的OpenID Connect供應商（OPs）。

2.2 權杖典範中的信任模型

信任模型從階層式PKI轉向去中心化的權杖式驗證。關鍵挑戰包括發行者驗證、權杖撤銷和跨網域信任建立。

2.3 可追溯性挑戰

在權杖環境中維持與X.509系統同等工作流程可追溯性面臨重大挑戰，需要為系統管理員開發新的方法論。

3 技術實作

3.1 JWT權杖結構

JSON Web Tokens（JWT）遵循RFC9068規範，包含以下關鍵欄位：

• iss：權杖發行者識別碼
• sub：主體（等同於憑證中的DN）
• aud：目標受眾
• scope：授權操作
• jti：唯一權杖識別碼
• exp/iat/nbf：時間有效性聲明

3.2 數學基礎

權杖安全性依賴密碼學簽章。驗證過程可表示為：

$\\text{Verify}(token, key) = \\text{true} \\iff \\text{Signature}(header.payload) = \\text{signature}$

其中簽章演算法通常使用RS256：$\\text{RSASSA-PKCS1-v1_5 using SHA-256}$

3.3 程式碼實作

// 權杖驗證虛擬碼範例
function validateToken(token, issuerConfig) {
    // 解碼權杖標頭
    const header = base64decode(token.split('.')[0]);
    
    // 使用發行者公鑰驗證簽章
    const signingKey = getPublicKey(issuerConfig.iss, header.kid);
    const isValid = verifySignature(token, signingKey);
    
    // 驗證聲明
    if (isValid) {
        const payload = getTokenPayload(token);
        return validateClaims(payload, {
            issuer: issuerConfig.iss,
            audience: expectedAudience,
            expiration: currentTime
        });
    }
    return false;
}

4 實驗結果

工作小組在多個中介軟體堆疊中進行了廣泛測試。主要發現包括：

5 未來應用

基於權杖的AAI典範實現了新的能力，包括：

• 跨研究基礎架構的聯合身份
• 基於即時屬性的動態授權
• 透過減少憑證管理改善使用者體驗
• 透過更短效的憑證增強安全性

6 參考文獻

1. Jones, M., 等人. "JSON Web Token (JWT) Profile for OAuth 2.0 Access Tokens" RFC 9068 (2021)
2. WLCG Authorization Working Group. "Token-based AuthZ for WLCG" (2023)
3. Hardt, D. "The OAuth 2.0 Authorization Framework" RFC 6749 (2012)
4. Sakimura, N., 等人. "OpenID Connect Core 1.0" (2014)