Azure DevOps'ta cihaz bağlı Entra belirteçlerini kullanma

Taşıyıcı belirteçleri modern kimlik akışlarında yaygındır. Kullanıcı Azure DevOps'ta oturum açtığında, web istemcisi Microsoft Authentication Library (MSAL) kullanarak Entra'dan taşıyıcı belirteç türü olan OAuth 2.0 erişim belirtecini alır. Bu belirteç kullanıcının tarayıcı önbelleğinde depolanır. Ancak, belirteç önbelleklerinden çalınmalarına karşı savunmasızdırlar. SahipLik Kanıtı (PoP) veya cihaz bağlı belirteçleri, ortak/özel anahtar çifti kullanarak bu belirteci istemci cihazına bağlayarak bu riski azaltmaya yardımcı olur. Microsoft Entra, ortak anahtarı belirtece ekler ve istemci bunu özel anahtarla imzalar, bu da biri Entra'dan, diğeri ise istemciden olmak üzere iki dijital imzayla sonuçlanır. Bu, iki temel koruma sunar:

Belirteç önbelleği güvenliği. Yerel tarayıcı önbelleği tam olarak imzalanan PoP belirteçlerini depolamaz. Belirteçler yalnızca gerektiğinde imzalandığından, çalınan önbellek belirteçleri çoğu durumda donanım korumalı özel anahtar olmadan kullanılamaz.

Ortadaki adam koruması. Protokol, ortadaki adam saldırıları sırasında tekrar oynatma veya veri kesme saldırılarını da önler.

Azure DevOps, kullanıcıları belirteç hırsızlığına karşı korumak için web istemcisinde kullanılan erişim belirteçlerini cihaza bağlı belirteçlere yükseltecektir.