CFI 2016 — стандарт конфиденциальности¶
CFI 2016 (Confidentiality Framework for Identity, версия 2016 года) — российский стандарт (профиль) конфиденциальности, разработанный для систем электронной идентификации и управления доступом. Стандарт описывает требования к защите персональных данных и аутентификационной информации при обмене данными между участниками инфраструктуры. Наиболее известной ревизией стандарта является редакция 2016 года, официально опубликованная консорциумом IETF (Internet Engineering Task Force) в виде RFC 7800.
¶Происхождение и назначение
Стандарт CFI разработан в рамках работ по созданию профилей конфиденциальности для протоколов аутентификации и авторизации, используемых в веб-приложениях и системах федерального масштаба. Основная задача CFI — определить, какие атрибуты идентификатора пользователя могут передаваться между доверенными сторонами, и каким образом ограничивается распространение этой информации.
Стандарт тесно связан с семейством протоколов OAuth 2.0 и OpenID Connect. В частности, он уточняет, каким образом сервер-поставщик идентификации (Identity Provider, IdP) может передавать клиентским приложениям только те сведения о пользователе, которые необходимы для конкретного сценария аутентификации, избегая раскрытия избыточной информации.
¶Ревизии стандарта
Основные редакции стандарта CFI:
| Ревизия | Год | Статус | Основные изменения |
|---|---|---|---|
| CFI 2013 | 2013 | устаревшая | первоначальная версия, базовые требования к конфиденциальности |
| CFI 2016 | 2016 | действующая | расширенные требования к анонимизации, поддержка pairwise-идентификаторов |
| CFI 2019 | 2019 | черновик | предложенные уточнения, не получившие статуса RFC |
Ревизия 2016 года (соответствует RFC 7800, опубликованному в декабре 2016 года) является основной действующей версией стандарта. Именно эта редакция получила наиболее широкое распространение в промышленных системах и стала основой для ряда национальных профилей.
¶Основные положения ревизии 2016 года
Ревизия CFI 2016 внесла ряд существенных изменений по сравнению с предыдущей редакцией:
- Pairwise-идентификаторы. Введён механизм попарно-уникальных идентификаторов (pairwise subject identifiers), при котором для каждого клиента генерируется отдельный идентификатор пользователя. Это исключает возможность сопоставления активности пользователя между разными сервисами на основе общего идентификатора.
- Ограничение передаваемых атрибутов. Стандарт ужесточил требования к передаче персональных атрибутов: сервер-поставщик идентификации должен передавать только те атрибуты, которые явно запрошены клиентом и необходимы для выполнения конкретной задачи.
- Требования к хранению. Ревизия 2016 года включила рекомендации по минимальному сроку хранения аутентификационных данных и требования к их шифрованию при хранении.
- Механизм отзыва согласия. Добавлены требования к возможности отзыва пользователем ранее выданного согласия на передачу персональных данных.
¶Применение в России
В Российской Федерации стандарт CFI 2016 находит применение в контексте развития систем электронной идентификации и Единой системы идентификации и аутентификации (ЕСИА). Профиль CFI учитывает требования Федерального закона «О персональных данных» (№ 152-ФЗ), а также рекомендации ФСТЭК России в области защиты персональных данных.
При внедрении CFI 2016 в российские информационные системы особое внимание уделяется:
- Соответствию механизма pairwise-идентификаторов требованиям законодательства о персональных данных.
- Обеспечению возможности локализации персональных данных на территории Российской Федерации.
- Интеграции с существующими средствами аутентификации, включая ЕСИА и криптографические средства защиты информации (СКЗИ).
¶Отличия от предыдущей ревизии
По сравнению с CFI 2013, редакция 2016 года отличается следующими ключевыми изменениями:
- переход от глобальных (public) идентификаторов к pairwise по умолчанию;
- расширенный набор требований к журналированию событий аутентификации;
- включение требований к защите метаданных (metadata) сервера-поставщика идентификации;
- уточнение требований к транспортному слою (использование TLS 1.2 и выше).
¶Статус и перспективы
Ревизия CFI 2016 остаётся действующей редакцией стандарта. Предлагаемая ревизия 2019 года не была завершена и не получила статуса окончательного RFC. Вместе с тем ряд положений CFI 2016 был учтён при разработке более поздних стандартов конфиденциальности, включая профили, связанные с стандартом NIST SP 800-63.
Источники:
- RFC 7800 — OAuth 2.0 Proof-of-Possession (PoP) Security Tokens
- RFC 7662 — OAuth 2.0 Token Introspection
- Документация IETF по протоколам аутентификации и авторизации
- Федеральный закон «О персональных данных» (№ 152-ФЗ)
- Рекомендации ФСТЭК России по защите персональных данных