A Agência de Segurança de Infraestrutura e Cibersegurança (CISA) e o Instituto Nacional de Padrões e Tecnologia (NIST) lançaram orientações técnicas finais para impedir que atacantes forjem, roubem, repliquem ou utilizem indevidamente tokens de identidade e acesso. Publicado como o Relatório Interagencial NIST 8587 em 15 de setembro de 2026, o documento fornece um roteiro para agências federais e provedores de serviços em nuvem (CSPs) para proteger ambientes de login único, federação de identidade, acesso via API e autenticação de máquina para máquina.
Contexto e necessidade do guia NIST IR 8587
Os tokens de identidade e as afirmações assinadas permitem que aplicativos confiem na autenticação realizada por um provedor de identidade, evitando a necessidade de desafiar repetidamente os usuários por credenciais. No entanto, adversários que roubam um token legítimo, comprometem uma chave de assinatura ou exploram uma validação fraca podem contornar a autenticação multifator e acessar recursos conectados como usuários confiáveis. O relatório cita incidentes envolvendo afirmações SAML forjadas e chaves de assinatura com escopo inadequado, incluindo um que expôs mais de 60.000 e-mails de uma agência federal.
O guia técnico expande o controle IA-13 "Provedores de Identidade e Servidores de Autorização" introduzido no NIST SP 800-53 Release 5.1.1. A conformidade permanece voluntária, a menos que seja vinculada por política ou contrato, embora os termos "MUST" (deve) e "SHOULD" (deveria) estabeleçam expectativas de implementação mensuráveis. A centralidade da proteção das chaves criptográficas usadas para assinar tokens é um ponto crítico, exigindo algoritmos aprovados e módulos validados FIPS 140.
Requisitos técnicos e gestão de chaves
As organizações devem documentar arquiteturas de token, protocolos, tempos de vida, processos de validação, gestão de chaves, procedimentos de revogação, controles de sessão, logging e resposta a incidentes. Uma exigência central é a proteção mais forte para as chaves criptográficas usadas para assinar tokens. As chaves devem usar algoritmos aprovados e módulos validados FIPS 140, ser inventariadas por propósito, mover-se por canais protegidos e nunca ser exportadas em texto simples.
Para sistemas de impacto moderado e superior, as chaves de assinatura devem usar armazenamento baseado em hardware, baseado em hardware ou outro armazenamento isolado. Sistemas de alto impacto devem também isolar operações de assinatura de aplicativos e sistemas operacionais de propósito geral. O NIST recomenda rotação de chaves frequente, baseada em risco, apoiada por fluxos de trabalho de rolagem automática. Chaves de assinatura para sistemas de alto impacto devem permanecer ativas por no máximo 90 dias, enquanto chaves para sistemas de impacto moderado e baixo devem geralmente ser usadas por menos de um ano.
Verificação de tokens e tempo de vida
O checklist técnico também reforça a verificação de tokens. As afirmações e tokens devem identificar o emissor, o assunto ou cliente, a audiência pretendida, o tempo de emissão, a janela de validade, o identificador único de token ou nonce, o tempo de autenticação e a assinatura. Servidores de recursos devem verificar a assinatura, a origem, a integridade, o escopo e a audiência antes de conceder acesso, enquanto as chaves de assinatura devem ser restritas ao limite prático mais baixo, como um inquilino, grupo de clientes, aplicativo ou ambiente de implantação.
O tempo de vida do token é outro controle importante. Tokens de acesso e identidade devem expirar geralmente dentro de uma hora, com períodos mais curtos aplicados a recursos de maior risco. Tokens de atualização requerem expiração, proteções de replay, armazenamento seguro e políticas de revogação. Onde a comprometimento é suspeito, os serviços de autorização não devem aceitar tokens de atualização associados sem primeiro reautenticar o usuário.
Resistência ao roubo e reutilização
Para resistência ao roubo e replay, as agências recomendam mecanismos restritos ao remetente, como TLS mútuo e Demonstração de Prova de Posse, restrições explícitas de audiência e decisões de acesso condicional refinadas informadas por dispositivo, rede, geolocalização e contexto comportamental. Identidades de carga de trabalho e serviços automatizados devem receber credenciais de curto prazo e escopo restrito de plataformas de identidade aprovadas, em vez de confiar em segredos estáticos.
O monitoramento contínuo é igualmente importante. A atividade do token deve alimentar logs à prova de violação e integrar-se com SIEM, UEBA ou ferramentas de segurança nativas da nuvem, mas tokens brutos e dados pessoais nunca devem ser registrados. O relatório também alerta contra a exposição de tokens em logs de CI/CD, saída de console, diretórios de cache ou artefatos de construção, e diz que qualquer exposição descoberta deve ser tratada como um incidente de segurança.
Implicações para IA e criptografia pós-quântica
O NIST IR 8587 estende essas salvaguardas aos sistemas de IA agêntica quando agentes usam tokens assinados para alcançar ferramentas, dados, APIs ou serviços, enquanto observa que os riscos mais amplos de identidade de IA exigem padrões adicionais. O relatório também insta agências e CSPs a inventariar criptografia de chave pública e se prepararem para a migração pós-quântica, já que chaves e assinuras maiores resistentes a quânticos podem sobrecarregar JWTs, cookies de navegador e cabeçalhos HTTP.
Para defensores, a mensagem é clara: a segurança do token deve ser projetada como um ciclo de vida monitorado continuamente, em vez de tratada como uma configuração de plataforma de identidade de uma única vez. A implementação deste guia exige uma revisão completa das políticas de identidade e acesso das organizações, com foco especial na gestão de chaves criptográficas e na duração dos tokens de sessão.
O que os CISOs devem fazer imediatamente
1. Inventariar todos os tokens de identidade e chaves de assinatura em uso na organização. 2. Revisar as políticas de tempo de vida dos tokens e garantir que não excedam as recomendações do NIST (1 hora para acesso, 90 dias para chaves de alto impacto). 3. Implementar monitoramento de atividade de token em SIEM e ferramentas de segurança nativas da nuvem. 4. Preparar planos de migração para criptografia pós-quântica, especialmente para sistemas de alto impacto. 5. Revisar processos de resposta a incidentes para incluir a revogação de tokens comprometidos.