Una credenziale firmata crittograficamente è un record digitale il cui contenuto viene firmato dall’emittente con una chiave crittografica privata. Un verificatore può controllare la firma usando la chiave pubblica dell’emittente, contribuendo a confermare che il record è autentico e non è stato alterato. La credenziale può indicare un’identità o dichiarazioni relative ai permessi, ma una firma valida da sola non dimostra che tali permessi siano appropriati o ancora validi.
Nella cybersicurezza, le credenziali possono aiutare i servizi a identificare utenti, software o agenti di intelligenza artificiale e a valutare la loro autorità. Affinché una credenziale di un agente funga da controllo, il sistema che riceve ogni richiesta deve convalidarla e applicare le policy aggiornate in fase di esecuzione, inclusi ambito e scadenza; le organizzazioni devono inoltre disporre di un modo per revocare le credenziali e verificarne l’utilizzo. Gli aggressori possono sfruttare sistemi che si fidano di credenziali obsolete, rubate o eccessivamente ampie. I difensori dovrebbero proteggere le chiavi di firma, limitare l’ambito e la durata delle credenziali e verificarle al momento dell’azione.