OAuth 2.0 : authentification client Mutual-TLS et jetons d'accès liés au certificat

• Statut: Proposed Standard
• Publié: February 2020
• Stream: IETF
• Errata: Pas d'errata

---

Informations sur le document

• Numéro RFC : 8705
• Titre : OAuth 2.0 : authentification client Mutual-TLS et jetons d'accès liés au certificat
• Auteurs : B. Campbell (Ping Identity), J. Bradley (Yubico), N. Sakimura (Nomura Research Institute), T. Lodderstedt (YES.com AG)
• Date : février 2020
• Catégorie : Standards Track
• Mises à jour : aucune
• Abroge : aucune

Résumé

Ce document décrit l'authentification des clients OAuth et des jetons d'accès et d'actualisation liés au certificat (certificate-bound) au moyen de l'authentification mutuelle Transport Layer Security (TLS) avec des certificats X.509. Il fournit aux clients OAuth un mécanisme d'authentification auprès du serveur d'autorisation par mutual TLS, fondé sur des certificats auto-signés ou sur une infrastructure à clés publiques (PKI, public key infrastructure). Il fournit aux serveurs d'autorisation OAuth un mécanisme pour lier les jetons d'accès au certificat mutual-TLS du client, et aux ressources protégées OAuth un moyen de garantir qu'un jeton d'accès ainsi présenté leur a été délivré au client qui le présente.

État du présent mémo

Il s'agit d'un document Internet Standards Track.

Ce document est un produit de l'Internet Engineering Task Force (IETF). Il représente le consensus de la communauté IETF. Il a bénéficié d'un examen public et a été approuvé pour publication par l'Internet Engineering Steering Group (IESG). Des informations complémentaires sur les normes Internet figurent à la section 2 du RFC 7841.

Des informations sur l'état actuel de ce document, les éventuelles errata et la façon de fournir des retours sont disponibles sur https://www.rfc-editor.org/info/rfc8705.

Avis de copyright

Copyright (c) 2020 IETF Trust et les personnes identifiées comme auteurs du document. Tous droits réservés.

Ce document est soumis au BCP 78 et aux dispositions légales de l'IETF Trust relatives aux documents IETF (https://trustee.ietf.org/license-info) en vigueur à la date de publication du présent document. Veuillez examiner attentivement ces documents, car ils décrivent vos droits et restrictions concernant ce document. Les composants de code extraits de ce document doivent inclure le texte de licence Simplified BSD décrit à la section 4.e des dispositions légales Trust et sont fournis sans garantie, comme décrit dans la licence Simplified BSD.

Contents

• 1. Introduction
  • 1.1. Notation des exigences et conventions
  • 1.2. Terminologie
• 2. Mutual TLS pour l'authentification client OAuth
  • 2.1. Méthode mutual-TLS PKI
    • 2.1.1. Valeur de métadonnée de la méthode PKI
    • 2.1.2. Métadonnées d'enregistrement client
  • 2.2. Méthode mutual-TLS à certificat auto-signé
    • 2.2.1. Valeur de métadonnée de la méthode auto-signée
    • 2.2.2. Métadonnées d'enregistrement client
• 3. Jetons d'accès liés au certificat client mutual-TLS
  • 3.1. Méthode de confirmation par empreinte de certificat JWT
  • 3.2. Méthode de confirmation pour l'introspection de jeton
  • 3.3. Métadonnées du serveur d'autorisation
  • 3.4. Métadonnées d'enregistrement client
• 4. Clients publics et jetons liés au certificat
• 5. Métadonnées pour les alias de points de terminaison mutual-TLS
• 6. Considérations d'implémentation
  • 6.1. Serveur d'autorisation
  • 6.2. Serveur de ressources
  • 6.3. Expiration du certificat et jetons d'accès liés
  • 6.4. Flux implicite non pris en charge
  • 6.5. Terminaison TLS
• 7. Considérations de sécurité
  • 7.1. Jetons d'actualisation liés au certificat
  • 7.2. Liaison par empreinte de certificat
  • 7.3. Versions TLS et bonnes pratiques
  • 7.4. Usurpation de certificat X.509
  • 7.5. Complexité d'analyse et de validation des certificats X.509
• 8. Considérations de confidentialité
• 9. Considérations IANA
  • 9.1. Enregistrement des méthodes de confirmation JWT
  • 9.2. Enregistrement des métadonnées du serveur d'autorisation
  • 9.3. Enregistrement de la méthode d'authentification du point de terminaison de jeton
  • 9.4. Enregistrement de la réponse d'introspection de jeton
  • 9.5. Enregistrement des métadonnées d'enregistrement client dynamique
• 10. Références
  • 10.1. Références normatives
  • 10.2. Références informatives
• Annexe A. Exemple de revendication « cnf », certificat et JWK
• Annexe B. Relation avec Token Binding
• Remerciements
• Coordonnées des auteurs