Koalition identiteetinhallinta: liittoutuneiden autentikointi NATO- ja kumppaniverkostoissa

Kun ranskalainen yhteysupseeri yhdistää jaettuun koalition johtamisjärjestelmään, mikään yksittäinen organisaatio ei omista hänen identiteettiään. Hänen tunnistetietonsa myönsi Direction Interarmees des Reseaux d'Infrastructure et des Systemes d'Information (DIRISI), hänen turvaluokituksensa arvioitiin Ranskan kansallisen turvallisuuspolitiikan mukaan, ja hänen roolinsa määräsi hänen komentoportaansa Pariisissa. Koalition sovellus, johon hän on yhdistämässä, toimii kumppanivaltion hallinnoimalla infrastruktuurilla eikä oletusarvoisesti luota mihinkään edellä mainituista. Tämän kuilun ylittäminen luotettavasti, turvallisesti ja ilman tuhansien väliaikaisten koaliotunnusten manuaalista käyttöönottoa on se ongelma, jonka koalition identiteetinhallinta ratkaisee. Tässä artikkelissa tarkastellaan protokollia, PKI-rakenteita, attribuuttiskeemoja ja käytäntömekanismeja, jotka mahdollistavat koalition yhteentoimivuuden identiteettikerroksella.

Identiteettiongelma koalitio-operaatioissa

Koalitio-operaatiot kokoavat henkilöstöä useista suvereniteeteista maissa päivien aikajänteellä. Pysyvä yhteinen joukko voi sisältää osallistujia kymmenestä valtiosta, joista kukin toimii oman identiteetinhallintajärjestelmänsä mukaan, käyttää omaa hakemistoinfrastruktuuriaan ja myöntää tunnistetiedot oman kansallisen PKI-hierarkiansa alaisuudessa. Ennen liittoutuneita identiteettiratkaisuja vakiomenettely oli manuaalinen käyttöönotto: kunkin valtion järjestelmärajan yhteystoimihenkilöt loivat paikallisia tunnuksia saapuville koalition käyttäjille, määrittelivät käyttöoikeudet manuaalisesti ja poistivat nämä tunnukset käyttäjän poistuessa koalitiosta. Tämä prosessi oli hidas, virhealtis, epäjohdonmukaisesti dokumentoitu ja loi pysyviä orpoja tunnuksia, jotka pysyivät aktiivisina kauan sen jälkeen, kun ne edustanut henkilöstö oli jo poistunut koalitiosta.

Perusvaatimus on, että autentikoinnin ja valtuutuksen on pysyttävä suvereenin kontrollin alaisena samalla, kun ne mahdollistavat pääsyn kansallisten rajojen yli. Mikään valtio ei hyväksy keskitettyä koalition identiteettiviranomaista, jota toinen jäsen voisi kaapata, vaarantaa tai hyödyntää poliittisesti. Arkkitehtuuri ei siis voi nojata yhteen identiteettitietovarastoon, johon kaikki valtiot liittoutuisivat. Sen sijaan sen on kohdeltava kunkin valtion identiteettitarjoajaa vertaisena, luomalla kahdenvälisiä tai monenvälisiä luottamussuhteita niiden välille luovuttamatta kansallista kontrollia tunnistetietoihin itsessään. Tämä on se määräävä rajoite, joka tekee koalition identiteetinhallinnasta arkkitehtuurillisesti erilaisen kuin yrityksen kertakirjautuminen.

Käytännön seurauksena on, että jokainen identiteettitapahtuma koalition rajan yli sisältää vähintään kolme osapuolta: käyttäjän kotivaltion identiteettitarjoajan, resursseja omistavan luottavan osapuolen kumppanivaltiossa ja luottamuskehyksen, jonka molemmat osapuolet ovat sopineet noudattavansa. Kuten Federated Mission Networking -toteutusoppaassa kuvataan, tämä luottamuskehys dokumentoidaan federaatiosopimuksiin, jotka määrittelevät mitä attribuutteja vaihdetaan, mitä väitemuotoja odotetaan ja miten pääsöpäätökset tehdään rajalla.

Federaatioprotokollat: SAML 2.0, OAuth 2.0 ja OIDC puolustusympäristöissä

Security Assertion Markup Language 2.0 (SAML 2.0) on edelleen hallitseva protokolla identiteettifederaatioon puolustus- ja hallintoympäristöissä. Sen kypsyys, laaja toteutus yrityksen identiteettialustoilla (Microsoft ADFS, Shibboleth, Ping Identity) ja XML-allekirjoitukseen perustuva väitemalli sopivat hyvin olemassa olevaan PKI-infrastruktuuriin. SAML-väite on allekirjoitettu XML-dokumentti, joka kantaa käyttäjän identiteettitiedot ja jonka kotiIdP myöntää käyttäjän paikallisen autentikoinnin jälkeen. Luottava osapuoli validoi väitteen allekirjoituksen IdP:n allekirjoitussertifikaattia vastaan, tarkistaa yleisörajoituksen (varmistaen, että väite on myönnetty juuri tälle RP:lle) ja tarkistaa väitteen aikaleiman uudelleentoistohyökkäysten estämiseksi. Koska väite on allekirjoitettu myöntämishetkellä, RP ei tarvitse suoraa yhteyttä IdP:hen validointihetkellä, mikä on arvokasta ajoittain irrotetuissa koalitioympäristöissä.

OAuth 2.0 ja OpenID Connect (OIDC) ovat yhä useammin läsnä koalitioarkkitehtuureissa, kun uudemmat järjestelmät omaksuvat REST-natiiveja rajapintoja SAML:lle suunniteltujen SOAP-mallien sijaan. OIDC laajentaa OAuth 2.0:aa standardoidulla ID-tokenilla (JSON Web Token), joka kantaa identiteettitiedot, kun taas OAuth 2.0 -pääsytokeneita käytetään API-kutsujen valtuuttamiseen autentikoidun käyttäjän puolesta. Lyhyempi tokeniformaatti ja HTTP-natiivit virrat tekevät OIDC:stä paremman valinnan mobiili- ja verkkosovelluksille. Koalition käyttöön OIDC vaatii, että kotivaltion valtuutuspalvelin on saavutettavissa kumppanin verkosta tokenin myöntämishetkellä, mikä asettaa yhteysriippuvuuden, jonka SAML:n offline-väitemalli välttää. Monet koalition käyttöönottotapaukset ajavatkin SAML:ia ensisijaiseen autentikointiin ja myöntävät lyhytikäisiä OIDC-tokeneita paikallisesti kumppanin rajalla, kääntäen saapuvan SAML-väitteen tehokkaasti OIDC-istunnoksi kumppanin sovellusekosysteemin laajuudessa.

Molemmat protokollat vaativat huolellista kovennusta puolustusympäristöissä. Väitteen salaus (pelkän allekirjoituksen lisäksi) on pakollista, kun väitteet kulkevat verkkorajojen yli, koska allekirjoitettu mutta salaamaton SAML-väite paljastaa käyttäjän turvaluokitustason, kansallisuuden ja roolimääritykset kaikille verkkotarkkailijille. TLS 1.3:n molemminpuolisella autentikoinnilla tulisi suojata kaikki federaatiopäätepisteet. Kellosynkronointi kaiken IdP- ja RP-infrastruktuurin välillä on hiljainen riippuvuus: SAML-aikaleiman validointi-ikkunat asetetaan tyypillisesti viiteen minuuttiin, ja tämän ikkunan ylittävä kellodrifti aiheuttaa päteviä väitteitä epäonnistumaan, katkaisemalla pääsyn asianomaisilta käyttäjiltä ilman mitään ilmeistä virhettä muutoin kuin autentikointiaikakatkaisu.

PKI-ristiinsertifiointi: kansallisten sertifikaattiviranomaisten yhdistäminen

Identiteettifederaation väitteet ovat vain niin luotettavia kuin niiden taustalla olevat allekirjoitusavaimet. Jokainen SAML IdP allekirjoittaa väitteensä sertifikaatilla, joka on myönnetty sertifikaattiviranomaishierarkian alaisuudessa. Jotta kumppanivaltion RP voisi luottaa saapuvaan väitteeseen, sen on luotettava CA:han, joka on myöntänyt allekirjoitussertifikaatin. Kotimaisessa yhden organisaation käyttöönottotapauksessa tämä on suoraviivaista: yksi CA myöntää sertifikaatit kaikille luottaville osapuolille ja identiteettitarjoajille. Koalitiossa kukin valtio ylläpitää omaa CA-hierarkiaansa, myöntäen sertifikaatit kansallisten käytäntökehysten alaisuudessa, joita muiden valtioiden järjestelmät eivät oletusarvoisesti tunnista.

Ristiinsertifiointi ratkaisee tämän luomalla eksplisiittisiä luottamislinkkejä kansallisten CA-hierarkioiden välille. Yksinkertaisimmassa kahdenvälisessä muodossaan Valtion A CA myöntää ristiinsertifikaatin Valtion B CA:lle (ja päinvastoin). Valtion A luottava osapuoli, joka luottaa omaan CA-hierarkiaansa, luottaa transitiivisesti myös Valtion B CA:n alaisuudessa myönnettyihin sertifikaatteihin. Ristiinsertifikaatti määrittelee luottamuksen syvyyden ja voi sisältää käytäntörajoituksia, jotka rajoittavat luotettujen sertifikaattikäyttöjen laajuuden (esim. luottaen Valtion B sertifikaatteihin vain digitaalisenaallekirjoituksen tarkistukseen, ei avainten salaukseen). NATOssa NATO Public Key Infrastructure ylläpitää silta-CA:ta, joka ristiinsertifioi osallistujavaltioiden CA:t, mahdollistaen yhden siltasuhteen levittää luottamuksen kaikkien yhdistettyjen kansallisten hierarkioiden välillä ilman, että jokaisen valtioparin täytyy perustaa suora kahdenvälinen ristiinsertifiointi.

Sertifikaattikäytäntötunnisteet (OID:t sertifikaattilaajennuksissa) ovat mekanismi, jolla luottavat osapuolet tekevät valtiokohtaisia luottamuspäätöksiä. Koalition RP voidaan konfiguroida hyväksymään sertifikaatteja kaikista ristiinsertifioiduista kansallisista CA:ista yleiseen autentikointitarkoitukseen, mutta vaatimaan tiettyä käytäntö-OID:tä (osoittaen laitteistotokenipohjainen tunniste tai tietty varmuustaso) ennen kuin salliaan pääsy luokiteltuihin julkistettaviin resursseihin. Tämä kaksitasoinen käytäntömalli – laaja autentikointiluottamus, suppea valtuutusluottamus – välttää operatiivisen ongelman, jossa ristiinsertifiointisopimus pitäisi muuttaa aina, kun uusi resurssikategoria vaatii korkeampaa varmuustasoa, koska hienojakoiset säännöt sijaitsevat RP:n paikallisessa käytännössä eikä CA-infrastruktuurissa.

Roolimappailu heterogeenisissä koalition hakemistoissa

Vaikka autentikointi onnistuisi federaatiorajan yli, kumppanin järjestelmän valtuutuspäätös edellyttää saapuvien identiteettitietojen kääntämistä joksikin, jonka paikallinen pääsynhallintajärjestelmä ymmärtää. Ranskalaisen upseerin sotilasarvo Lieutenant-Colonel, väitettynä Ranskan sotilaalliisessa LDAP-attribuuttimuodossa, on merkityksetön brittiläiselle C2-järjestelmälle, jonka pääsynhallintalistat on rakennettu brittiläisten arvoasteiden ja roolikoodien ympärille. Roolimappailu on prosessi, jossa luodaan vastaavuudet eri kansallisten hakemistojen attribuuttiskeemojen välille, jotta saapuvat väitteet voidaan muuntaa paikallisesti toimintakelpoisiksi pääsöpäätöksiksi.

Käännöskerros toteutetaan tyypillisesti ehtokartoitussääntöinä kumppanin RP:ssä tai identiteettibrokerissa. Säännöt ovat muotoa ehdolliset kartoitukset: jos saapuva väite sisältää kansallisuusattribuutin "FRA" ja arvokoodin, joka vastaa NATOn STANAG-arvoasteikolla OF-4:ää tai OF-5:ttä, mapaa käyttäjä paikalliseen ryhmään "coalition-senior-officer". STANAG-arvoasteikko on tämän mahdollistava yhteinen kieli: se tarjoaa yhteisen numeerisen tunnisteen kullekin arvolle kaikissa liittolaismaissa, mahdollistaen roolimappaaussääntöjen kirjoittamisen neutraalia STANAG-koodia vastaan eikä kunkin valtion natiiveja arvoastenimiä vastaan. Koalitioon henkilöstöä toimittavat valtiot ovat vastuussa STANAG-arvoekvivalentin sisällyttämisestä SAML-väitteisiinsä, vaatimus, joka on tarkistettava federaatiotestauksessa.

Organisatoriset roolimääritykset aiheuttavat monimutkaisemman mappaushaasteeen, koska NATOn standardi ei tarjoa STANAG-arvokoodien ekvivalenttia toiminnallisille rooleille. Käyttäjä, jolle on määritetty rooli "tiedustelun analyytikko" Valtion A hakemistossa, saatetaan joutua mappaamaan eri paikallisiin rooleihin riippuen siitä, mihin kumppanin järjestelmistä hän pääsee ja mitä koalition voimankäyttösäännöt sillä hetkellä määräävät kyseisen roolin pääsytasolle. Tämä edellyttää roolimappaaussääntöjen ylläpitämistä elävänä dokumenttina, päivitettynä koalition identiteetinhallintakoordinointiprosessin kautta, kun uusia järjestelmiä liitetään ja operatiiviset vaatimukset muuttuvat. Koalition tiedonjaon haasteet, jotka johtuvat yhteensopimattomista tietomalleista, ovat kaikkein akuuteimpia juuri tässä attribuuttien käännösrajassa.

Attribuuttipohjainen pääsynhallinta julkistettavuuden valvomiseksi

Roolipohjainen pääsynhallinta (RBAC) määrittelee oikeudet rooleille ja roolit käyttäjille. Koalition järjestelmille tämä malli on riittämätön, koska pääsöpäätökset riippuvat ulottuvuuksista, joita roolit yksin eivät voi kattaa. Asiakirja, jossa on merkintä REL TO USA, GBR, CAN, AUS, NZL (julkistettavissa Five Eyes -maille), on oltava saatavilla kanadalaiselle upseerille SECRET-tasolla, mutta ei ranskalaiselle upseerille vastaavalla tasolla, riippumatta siitä, onko molemmilla identtiset toiminnalliset roolit. Julkistettavuus on resurssin ominaisuus, ei käyttäjän roolin ominaisuus, ja sen oikea valvonta edellyttää käyttäjän kansallisuuden, luokituksen, tiedontarpeen ja resurssin luokitusmerkinnän samanaikaista arviointia.

Attribuuttipohjainen pääsynhallinta (ABAC) käsittelee tämän luontevasti. ABAC-käytäntö on looginen sääntö, joka arvioi kohteen attribuutteja (kansallisuus, luokitus, rooli, sijoitus), resurssien attribuutteja (luokitustaso, julkistettavuusvaraumat, käsittelyohjeet) ja ympäristöattribuutteja (verkon luokitustaso, pääsyaika) eksplisiitistä käytäntölausumaa vastaan. Yllä olevan asiakirjan käytäntö saattaa olla: salli pääsy, jos subject.nationality in [USA, GBR, CAN, AUS, NZL] JA subject.clearance >= SECRET JA resource.classification <= SECRET JA resource.releasability contains subject.nationality. Tämä sääntö on laadittavissa, auditoitavissa ja riippumaton minkä tahansa valtion roolien taksonomiasta. Käytäntömoottori arvioi sen pääsyhetkellä SAML-väitteestä poimittujen tietojen ja resurssin metatietojen perusteella.

eXtensible Access Control Markup Language (XACML) on kypsin standardi ABAC-käytäntöjen ilmaisemiseen ja arviointiin puolustusympäristöissä. XACML-käytäntöpäätöspiste (PDP) vastaanottaa valtuutuspyynnön, joka sisältää kohteen, resurssin ja ympäristön attribuutit, arvioi sen ladattua käytäntöjoukkoa vastaan ja palauttaa salli- tai kiellä-päätöksen. Sovelluksen käytäntöjen täytäntöönnanopiste (PEP) sieppaa jokaisen resurssipääsyn, muodostaa valtuutuspyynnön, kutsuu PDP:n ja täytäntöönpanee päätöksen. PEP:n erottaminen PDP:stä mahdollistaa käytännön päivittämisen, versioinnin ja auditoinnin riippumatta sovelluskoodista – kriittinen ominaisuus, kun julkistettavuussäännöt muuttuvat operatiivisen tilanteen kehittyessä.

Luottavan osapuolen konfigurointi ja metadatanhallinta laajassa mittakaavassa

Kahdentoista valtion koalitio, jossa kukin ylläpitää kymmentä tai kolmeakymmentä liittoutunutta sovellusta, tuottaa metadatanhallinnan haasteen, jolla on merkittävä operatiivinen pinta-ala. Jokaisella luottavalla osapuolella on oltava ajan tasalla oleva, voimassa oleva metadata jokaiselta IdP:ltä, jonka väitteitä se hyväksyy. Jokaisen IdP:n on rekisteröitynyt jokainen RP, jolle se saattaa myöntää väitteitä. Kun valtio kierrättää IdP-allekirjoitussertifikaattinsa (mikä pitäisi tapahtua vähintään vuosittain ja aina kompromissin epäilyissä), jokainen RP, joka hyväksyy kyseisen valtion väitteitä, on päivitettävä uudella sertifikaatilla ennen kuin vanha vanhenee. Tämän tekeminen manuaalisesti satojen kahdenvälisten rekisteröintien yli on operatiivisesti kestämätöntä ja aiheuttaa pääsykatkoksia, kun päivitykset viivästyvät sertifikaattikiertojen jälkeen.

Ratkaisu on federaation metadatarekisteri: keskeisesti julkaistu, allekirjoitettu XML-dokumentti, joka listaa koalition federaation kaikkien rekisteröityjen IdP:iden ja RP:iden metadatan. Kukin osallistuja hakee rekisterin määritellyllä aikataululla (tyypillisesti 4–24 tunnin välein), poimii luottamuskonfiguraationsa kannalta oleelliset merkinnät ja päivittää paikallisen identiteettialustansa. Rekisteri itsessään on allekirjoitettu koalition rekisteriviranomaisen avaimella, ja kukin osallistuja validoi tämän allekirjoituksen ennen päivitysten soveltamista – estäen vaarantuneen väliverkkosolmun injektoimasta väärää metadataa autentikointivirtojen uudelleenohjaamiseksi. SAML V2.0 Metadata Extensions for Registration and Publication -spesifikaatiota noudattavat SAML-metadatarekisterit tarjoavat teknisen kehyksen tälle; NATOn Federated Mission Networking -ohjelmisto on dokumentoinut sitä ympäröivät operatiiviset prosessit.

Metadatan kuluttajat tulisi konfiguroida epäonnistumaan suljetusti metadatan hakuvirheissä: jos rekisteri on saavuttamattomissa ja välimuistissa oleva kopio on vanhentunut, järjestelmän tulisi kieltää autentikointiyritykset asianomaisilta IdP:ltä eikä jatkaa mahdollisesti vanhentuneiden sertifikaattien käyttämistä. Saatavuuden ja turvallisuuden välinen operatiivinen kompromissi on tässä eksplisiittinen ja tulisi kodifioida federaatiosopimuksessa – määrittelemällä kuinka kauan välimuistissa olevaa metadataa voidaan käyttää ennen kuin se katsotaan vanhentuneeksi, ja mikä varaohjaustoiminta on, kun rekisteri on saavuttamattomissa taisteluoperaatioissa, joissa verkkoyhteys saattaa olla ajoittainen.

Poikkeamanhallinta: pääsyn peruuttaminen liittoutuneessa koalitiossa nopeasti

Peruutusongelma liittoutuneessa koalitiossa on vaikeampi kuin yhden organisaation PKI:ssä, koska peruutustoimenpide on levittävä suvereenien rajojen yli järjestelmiin, joita alkuperäinen valtio ei kontrolloi. Kun koalition käyttäjän tunnisteet vaarantuvat – varkauden, pakottamisen tai kotivaltion tietoturvapoikkeaman kautta – jokainen luottava osapuoli kaikkien kumppanivaltioiden osalta, joka on saattanut hyväksyä kyseisen käyttäjän väitteitä, on informoitava ja sen on valvottava peruutus. Aika poikkeaman julistamisesta ja peruutuksen universaalin täytäntöönpanon välillä on altistumisikkuna, jonka aikana vaarantunut tunniste pysyy käytettävissä.

Lyhyet väitteiden elinikajat ovat tehokkain ensisijainen ohjauskeino. SAML-väite, jolla on 30 minuutin voimassaoloaika, vanhenee ennen kuin vaarantuneita tunnistetietoja voidaan laajasti hyödyntää useimmissa skenaarioissa, ilman ulkoisen kanavan peruutusilmoituksen vaatimista luottavaan osapuoleen. Kustannuksena on, että käyttäjän on autentikoitava uudelleen 30 minuutin välein, mikä on hallittavissa saumattomalla SSO-uudelleenautentikoinnilla (jossa IdP myöntää hiljaisesti uuden väitteen ilman käyttäjän kehottamista), mutta muuttuu operatiivisesti häiritseväksi, jos IdP on saavuttamattomissa uudelleenautentikointi-ikkunan aikana. Väitteen elinajan asettaminen edellyttää tämän kompromissin punnitsemista odotettuun koalitio-verkon yhteysprofiilin suhteen.

PKI-sertifikaattien peruutuksessa sertifikaattien peruutusluettelot (CRL) ja Online Certificate Status Protocol (OCSP) ovat kaksi käytettävissä olevaa mekanismia. CRL-pohjainen peruutus julkaisee allekirjoitetun luettelon peruutetuista sertifikaattien sarjanumeroista, jonka luottavat osapuolet hakevat säännöllisesti; peruutuksen viive on rajattu CRL:n päivitysväliin, tyypillisesti 24 tuntia kansallisessa PKI-käytännössä, mutta konfiguroitavissa 1–4 tunniksi kiireellisissä koalitio-skenaarioissa. OCSP tarjoaa reaaliaikaisen peruutustilan, mutta edellyttää OCSP-vastaajan saavutettavuutta autentikointihetkellä – sama yhteysriippuvuusongelma kuin OIDC:ssä. Kerrostettu lähestymistapa on asianmukainen: lyhytikäiset SAML-väitteet ensisijaisena ohjausmekanismina, toistuvat CRL-haut sertifikaattitason turvaverkkona ja OCSP-niittaus TLS-kerroksella sovelluksille, joissa vaaditaan reaaliaikainen sertifikaattitilan tarkistus. Ulkoisen kanavan ilmoitusmenettelyt – dokumentoidut yhteystietoluettelot, ennalta määritellyt viestiformaatit ja testatut eskalointireitit koalitiossa – täydentävät poikkeamanhallinnan kyvyn, jota mikään tekninen protokolla ei voi täysin automatisoida.