NIST发布保护令牌与断言免受伪造盗窃滥用最终版实施建议

发生了什么

据安全内参报道，美国国家标准与技术研究院（NIST）与网络安全和基础设施安全局（CISA）于2026年9月15日联合发布NIST IR 8587最终版《保护令牌与断言免受伪造、盗窃和滥用：面向机构和云服务提供商的实施建议》。该报告回应第14306号行政令任务，基于NIST SP 800-53更新，为联邦机构及云服务提供商提供令牌保护建议。最终版完善了签名密钥保护、工作负载身份、令牌管理及标准引用，增加对AI智能体和后量子密码迁移的讨论。报告强调将令牌保护贯穿身份与访问管理全过程，防护对象由账户凭据延伸至令牌和身份断言，并强化身份提供商和授权服务器安全控制。