מדריך לשילוב של Google Workspace Shared Signals Framework ‏ (SSF) בגרסת בטא סגורה

המסגרת של אותות משותפים (SSF) היא יוזמה שנתמכת על ידי הקהילה של OpenID Foundation. המטרה שלה היא לפתח ולתחזק מסגרת תקשורת לפלטפורמות אבטחה, כדי לשתף תובנות לגבי אבטחה באמצעות אירועים ופרוטוקולים סטנדרטיים. כדי לתמוך ביוזמת ה-SSF, ‏ Google Workspace מטמיעה מקלט SSF לקליטת אותות של פרופיל הערכת גישה רציפה (CAEP).

הגרסה הראשונית שלנו, שזמינה עכשיו בגרסת בטא סגורה, תומכת באות האירוע Session Revocation. במהלך הזמן, אנחנו מתכוונים לפתח תמיכה באותות רבים של CAEP, שמועברים על ידי מגוון פלטפורמות אבטחה.

אם אתם ספק של פלטפורמת אבטחה ומעוניינים להעביר אותות CAEP ל-Google Workspace, או לקוחות של Google Workspace שמעוניינים לבדוק את השילוב של אותות משותפים בדומיין שלכם, אתם יכולים למלא את טופס ההרשמה לבדיקת SSF כדי להביע את ההתעניינות שלכם.

הערה: אנחנו נמצאים בשלב הפיתוח של גרסת בטא סגורה, ובכוונתנו לצרף בהדרגה שותפים ולקוחות. שליחת הטופס לא מבטיחה קבלה לגרסת הבטא הסגורה.

אירוע ביטול סשן CAEP

בשלב הראשון, Google Workspace תומך באירוע ביטול הסשן של CAEP (פרוטוקול הערכת גישה רציפה). האפשרות הזו מאפשרת לשירותים אחרים להודיע ל-Google Workspace כשהסשן של משתמש בוטל.

הדוגמה הבאה היא של אירוע ביטול סשן של CAEP:

{
  "aud": "https://sharedsignals.googleapis.com",
  "events": {
    "https://schemas.openid.net/secevent/caep/event-type/session-revoked": {
      "event_timestamp": 1750212646,
      "subject": {
        "email": "user@domain.com",
        "format": "email"
      }
    }
  },
  "iat": 1750212646,
  "iss": "<issuer_id>",
  "jti": "YzBhOTBhMWEtNWVhOS00ZDkxLWFlYTgtMjE1YjliMjQ4YTVh",
  "sub_id": {
    "email": "user@domain.com",
    "format": "email"
  }
}

השדות בדוגמת ה-JSON שלמעלה מוגדרים כך:

  • ‫aud: קהל. הערך חייב להיות https://sharedsignals.googleapis.com.
  • events: מפה של אירועים.
    • ‫https://schemas.openid.net/secevent/caep/event-type/session-revoked: אירוע CAEP.
      • ‫event_timestamp: חותמת הזמן של האירוע.
      • ‫subject: המשתמש שאליו מתייחס האירוע.
        • ‫email: כתובת האימייל של המשתמש.
        • ‫format: הפורמט של הנושא, במקרה הזה email.
  • ‫iat: הונפק ב- חותמת הזמן של האירוע.
  • ‫iss: מנפיק. המזהה של השירות ששלח את האירוע.
  • jti: מזהה JWT. מזהה ייחודי של האירוע.
  • ‫sub_id: מזהה הנושא. המשתמש שאליו מתייחס האירוע.
    • ‫email: כתובת האימייל של המשתמש.
    • ‫format: הפורמט של הנושא, במקרה הזה email.

תרחישי שימוש באירוע ביטול סשן

הנה כמה תרחישי שימוש שבהם משדר יכול לשלוח אירוע ביטול סשן למקלט של Google:

  1. השבתת חשבון על ידי שותפי IdP: כשספק זהויות (IdP) משבית חשבון משתמש.
  2. השעיית חשבון על ידי שותפי IDP: כשספק IDP משעה חשבון משתמש.
  3. אירוע סיכון של משתמש לפי שותפי IDP ו-EDR: כששותף IDP או EDR (זיהוי נקודות קצה ותגובה) מזהה סיכון שמשויך למשתמש.
  4. שינוי פרטי כניסה על ידי ספק הזהויות: כשפרטי הכניסה של משתמש משתנים בספק הזהויות.

בכל התרחישים האלה, האירוע בצד המשדר יכול להפעיל אירוע ביטול סשן בצד המקלט של Google, וכך לעזור לוודא שהמשתמשים הקצה יצאו מהסשנים שלהם ב-Google Workspace, ולשפר את אבטחת החשבון.