V3.6.2 Federated Re-authentication

Requirement:

Verify that Credential Service Providers (CSPs) inform Relying Parties (RPs) of the last authentication event, to allow RPs to determine if they need to re-authenticate the user.

Explanation:

Убедитесь, что поставщик учетных данных (CSP) информирует проверяющую сторону (RP) о последнем событии аутентификации, чтобы RP могла определить, нужно ли ей повторно аутентифицировать пользователя.

В данном требовании ориентировано на сценарий Federated authentication, то есть аутентификационные данные пользователя управляются сторонним поставщиком услуг аутентификации (Credential Service Provider, CSP), отличным от приложения Relying Party (RP).

Remediation:

Для исполнения требования Federated Re-authentication, необходимо выполнять следующие действия:

1. Implement Token-based Authentication.

Убедиться, что в системе federated authentication используется аутентификация на основе токенов. Когда пользователь успешно входит в систему CSP, CSP должен выдавать токен аутентификации, содержащий соответствующую информацию о пользователе, включая timestamp последнего события аутентификации.

2. Expose Last Authentication Event via Token Claims.

Включить timestamp последнего события аутентификации или соответствующую информацию в качестве требования в токен аутентификации, выдаваемый CSP. Это позволяет Relying Parties получать доступ к информации непосредственно из токена без необходимости запрашивать CSP для каждого решения о повторной аутентификации.

3. Token Expiry and Invalidation.

Определить четкие политики истечения срока действия и аннулирования токенов. Токены должны иметь ограниченный срок действия и аннулироваться при выходе пользователя из системы или при обнаружении CSP подозрительной активности.

4. Secure Token Transmission.

Обеспечить безопасную передачу токена между CSP и Relying Parties. Использовать зашифрованные протоколы, такие как HTTPS (TLS/SSL), чтобы предотвратить подделку или перехват токена.

5. Token Verification on Relying Parties.

Relying Parties должны проверять подлинность и действительность аутентификационного маркера, полученного от CSP. Необходимо использовать надежную библиотеку JWT (JSON Web Token) или подходящий механизм проверки токена, чтобы убедиться, что токен не был подделан и все еще действителен.

6. Re-authentication Logic on Relying Parties.

Relying Parties должны реализовать логику для оценки необходимости повторной аутентификации на основе информации о последнем событии аутентификации, предоставленной в маркере. Например, следует учитывать такие факторы, как таймаут сессии, чувствительность операции и требования соответствия.

7. Audit and Monitoring.

Внедрить механизмы аудита и мониторинга для отслеживания событий аутентификации и использования токенов. Необходимо регулярно просматривать журналы для выявления подозрительных действий или потенциальных проблем с безопасностью.

8. User Consent and Transparency.

Информировать пользователей о политике повторной аутентификации и причинах запроса повторной аутентификации в определенных сценариях. При необходимости получать явное согласие пользователя, особенно если речь идет о дополнительных конфиденциальных операциях.

9. Compliance with Data Protection Regulations.

Убедиться, что хранение и обработка данных аутентификации пользователей, включая токены, соответствуют требованиям нормативных актов по защите данных, таких как GDPR или других применимых законов.

10. Regular Security Assessment.

Проводить регулярные оценки безопасности, включая тестирование на проникновение и анализ кода, с целью выявления и устранения любых уязвимостей в системе аутентификации.

 Пример демонстрирующий, как Credential Service Provider (CSP) может реализовать token-based аутентификацию и включить информацию о последнем событии аутентификации в token claims:

import jwt

import datetime

# Secret key for token signing (should be kept secret and not hard-coded in production)

SECRET_KEY = 'your_secret_key_here'

class CredentialService:

def __init__(self):

pass

def authenticate_user(self, username, password):

# Replace this with your actual user authentication logic

if username == 'example_user' and password == 'password123':

return True

return False

def get_last_authentication_event(self, username):

# Replace this with your actual logic to fetch the last authentication event for the given user

# In this example, we'll use a static timestamp for simplicity

return datetime.datetime.utcnow()

def generate_auth_token(username):

# Create a payload containing the username and the last authentication event timestamp

csp = CredentialService()

last_auth_event = csp.get_last_authentication_event(username)

payload = {

'username': username,

'last_auth_event': last_auth_event.isoformat(), # Convert timestamp to ISO format string

'exp': datetime.datetime.utcnow() + datetime.timedelta(hours=1) # Token expiration time (1 hour from now)

}

# Generate the JWT token using the payload and the secret key

token = jwt.encode(payload, SECRET_KEY, algorithm='HS256')

return token

def verify_auth_token(token):

try:

# Verify the token using the secret key

payload = jwt.decode(token, SECRET_KEY, algorithms=['HS256'])

# Extract and return the username and last authentication event from the token

return payload.get('username'), payload.get('last_auth_event')

except jwt.ExpiredSignatureError:

# Token has expired

return None, None

except jwt.InvalidTokenError:

# Token is invalid or tampered

return None, None

if __name__ == '__main__':

# Example usage:

csp = CredentialService()

username = input("Enter your username: ")

password = input("Enter your password: ")

if csp.authenticate_user(username, password):

# User authenticated successfully, generate and print the authentication token

token = generate_auth_token(username)

print("Authentication token:", token)

# Simulate RP verifying the token

rp_username, last_auth_event = verify_auth_token(token)

if rp_username:

print(f"Hello {rp_username}! Your last authentication event was at {last_auth_event}.")

else:

print("Invalid or expired token.")

else:

print("Authentication failed. Invalid credentials.")

Обратите внимание, что в реальных условиях для обеспечения безопасности необходимо использовать надежный механизм аутентификации, правильно хранить конфиденциальные данные (например, секретные ключи) и выполнять проверку токенов на стороне Relying Party (RP). Кроме того, для усиления системы аутентификации следует использовать надежную библиотеку JWT и другие лучшие практики.

Additional: