Os padrões
Padrões abertos já definem quem pode agir por quem. O HBX os leva até os sistemas que sustentam a produção.
OpenID Connect, ID-JAG, Cross-App Access, DPoP e CIBA não são recursos que acrescentamos. O HBX é construído sobre eles, então o seu provedor de identidade continua sendo a fonte de quem é quem.
Os cinco padrões
Cada um responde a uma pergunta que a sua equipe de segurança vai fazer.
Ninguém compra um padrão. O que você compra é a resposta que cada um dá a uma pergunta que surge na primeira vez que um agente toca em algo que importa.
Quem é a pessoa
OpenID Connect
Permite que um sistema aceite uma identidade que outro sistema atestou, sem compartilhar senha. É a razão pela qual a sua empresa pode ter um único login, e pela qual todo passo da cadeia remete a uma pessoa que você já conhece.
Por quem o agente está agindo
ID-JAG
Uma declaração assinada que diz que este agente age por esta pessoa identificada, com este propósito, até este momento. O seu provedor de identidade toma a decisão e o HBX autoriza com base nela, então a linha de auditoria nomeia uma pessoa e não um login compartilhado.
Como a asserção viaja
Cross-App Access
A forma de passar essa permissão ao sistema que precisa respeitá-la, inclusive quando os dois pertencem a empresas diferentes. Um agente autorizado pelo provedor de identidade de um prestador de serviço chega ao seu sistema ainda atribuível ao engenheiro dele.
Por que um token roubado não serve
DPoP
Amarra o passe de acesso a uma chave que só quem chama possui, de modo que uma cópia do passe não serve sem a chave. No trabalho de agentes, em que esses passes aparecem em logs, prompts e memória, essa é a diferença entre um vazamento e um incidente.
Como uma pessoa diz sim, fora de banda
CIBA
Permite que o sistema pare e peça a uma pessoa real que aprove, no próprio dispositivo, antes de a ação prosseguir, e receba de volta uma resposta assinada e não uma caixa marcada. Coloca uma pessoa diante do comando destrutivo sem colocá-la diante de um terminal.
A cadeia, de ponta a ponta
Cinco padrões com um único trabalho: manter um nome ligado a uma ação.
Uma pessoa autoriza um agente. O agente pede um trabalho específico. Uma pessoa aprova a parte destrutiva. É criado no destino um login temporário que só funciona para esse trabalho e é removido quando ele termina.
Interoperabilidade
Testes de interoperabilidade executados e submetidos no programa da OpenID Foundation.
O evento de interoperabilidade
O HBX executou e submeteu testes de interoperabilidade no evento de interoperabilidade AIIM da OpenID Foundation. A Fundação publica os resultados e nomeia os participantes, então não nomeamos ninguém antes dela.
O que apoiar-se em padrões entrega
Padrões nomeados podem ser verificados, não aceitos na fé.
Quando a delegação é uma malha proprietária, a malha passa a ser a autoridade sobre quais agentes existem e o que podem fazer, e o seu provedor de identidade fica reduzido a uma fonte de registros que a alimenta. Quando a delegação é um padrão aberto, ela continua funcionando quando vem do provedor de identidade de um parceiro em vez do seu.