NIST与CISA联合定稿发布IR 8587令牌保护指南：吸纳近250条公众意见，"身份已成为新的边界"

2026年9月15日，美国国家标准与技术研究院（NIST）与网络安全和基础设施安全局（CISA）联合发布《保护令牌与断言免遭伪造、窃取和滥用：面向联邦机构与云服务提供商的实施建议》最终版（NIST Interagency Report 8587）。报告回应第14306号行政令的任务指派，以SP 800-53第5.1.1版及其IA-13控制项为基础，是2025年12月草案的定稿版本。 一、风险定性。CISA网络安全代理执行助理主任Chris Butera表示："身份已成为新的边界，其背后的令牌与断言是老练攻击者的高价值目标。"报告旨在防止一枚被窃取或伪造的凭据成为穿透整个联邦体系的立足点。 二、意见吸纳规模。最终版吸纳了**近250条公众意见**，集中于令牌验证、密钥与机密管理、规模化检测三方面。定稿前还经过2025年6月与50余名行业专家的技术交流会、2026年1月的草案网络研讨会，以及与Google、HashiCorp（IBM旗下）、IBM、Microsoft、Okta、OpenID基金会、Oracle、AWS、Wiz等企业的逐家沟通。 三、覆盖场景与建议要点。报告为单点登录（SSO）、联邦（federation）与API访问三类场景提供实施建议，涵盖身份提供方与授权服务器的架构考量、密钥管理强化、令牌验证加固与生命周期控制，并强调安全设计、可配置性、互操作性与持续监测。NIST数字身份项目负责人Ryan Galluzzo指出，凡在访问管理中使用令牌的组织均可参照。 四、实务意义。虽属实施建议而非强制规则，但将通过联邦采购与SP 800-53合规链路产生事实约束力。为美国联邦机构或其承包商提供云服务的企业、以及出海美国采用SSO/OIDC架构的产品，应就令牌有效期、受众校验、签发者绑定与撤销机制作对标自查。另需注意：令牌生命周期日志本身涉及可识别自然人的处理活动，建设检测与审计能力时须同步满足最小化与留存期限要求。