OpenID基金会为实时安全事件共享制定新标准

OpenID基金会（OIDF）已批准三项最终规范，确立了全球首个跨数字身份系统实时安全事件共享的标准。

获批的最终规范包括：

1. OpenID共享信号框架1.0：支持任意互联系统间安全、实时的安全事件传递；
2. OpenID持续访问评估配置文件（CAEP）1.0：定义系统如何通过通信会话变更维持持续安全；
3. OpenID风险信息共享与协调（RISC）1.0：建立服务间账户安全变更共享标准。

标准重要性：填补登录间隙安全空白

这些规范解决了一个关键漏洞——组织在用户登录间隔期间长期面临风险。依赖联合身份的系统在初始登录后无法接收安全更新，而会话通常持续数天或数周，期间用户位置、设备合规性或组织访问权限可能发生重大变化。此前，组织被迫在频繁重新认证（影响用户体验）与接受过时登录信息带来的安全风险之间妥协。

新标准构建了一个安全系统生态，支持跨组织边界实时通报威胁：

1. 企业设备管理系统可在用户设备不合规或被入侵时，通知所有互联服务；
2. 网络安全威胁检测平台能实时共享可疑活动情报；
3. 身份提供者可立即广播凭证泄露或账户接管警报；
4. 应用程序可向更广泛的安全生态报告异常用户行为模式。

OpenID基金会共享信号工作组联合主席Atul Tulshibagwale表示：“这种协同方法使零信任安全架构在全球范围内切实可行，安全决策基于当前实时信息而非过时的登录凭证。对于金融服务机构、医疗机构、政府部门等安全关键领域，这些规范提供了标准化基础，支持在整个数字基础设施中实施全面的零信任安全架构和持续访问评估策略。”

“最终规范”状态的意义

OIDF的批准使这些规范成为持续身份安全的全球权威标准，为保护全球数十亿用户奠定基础。“最终规范” designation 提供关键知识产权保护，并确保标准不再进一步修订。

OIDF成员包括负责保护全球数十亿用户身份的组织，苹果、IBM、Okta等主要科技领导者已采用这些协议。

OIDF执行董事Gail Hodges指出：“共享信号家族首批三项规范成为最终版，是规范 adoption 的重要里程碑。这一状态使许多政府能够采用这些规范，并让CTO和CISO确信规范已完全稳定、可投入使用。OIDF感谢共享信号工作组联合主席、贡献者和实施者付出的无数时间，他们构思、完善并推广了这一系列规范——我们认为这些规范对全球身份和安全生态系统的健康至关重要。”