OAuth 2.0: autenticazione client Mutual-TLS e access token vincolati al certificato

• Stato: Proposed Standard
• Pubblicato: February 2020
• Stream: IETF
• Errata: Nessun errata

---

Informazioni sul documento

• Numero RFC: 8705
• Titolo: OAuth 2.0: autenticazione client Mutual-TLS e access token vincolati al certificato
• Autori: B. Campbell (Ping Identity), J. Bradley (Yubico), N. Sakimura (Nomura Research Institute), T. Lodderstedt (YES.com AG)
• Data: febbraio 2020
• Categoria: Standards Track
• Aggiornamenti: nessuno
• Sostituisce: nessuno

Sommario

Questo documento descrive l'autenticazione dei client OAuth e gli access token e refresh token vincolati al certificato (certificate-bound) mediante autenticazione reciproca Transport Layer Security (TLS) con certificati X.509. Ai client OAuth viene fornito un meccanismo per autenticarsi presso l'authorization server usando mutual TLS, basato su certificati self-signed o su public key infrastructure (PKI). Agli authorization server OAuth viene fornito un meccanismo per vincolare gli access token al certificato mutual-TLS del client, e alle risorse protette OAuth un metodo per assicurarsi che un access token così presentato sia stato rilasciato al client che lo presenta.

Stato del presente memo

Questo è un documento Internet Standards Track.

Questo documento è prodotto dell'Internet Engineering Task Force (IETF). Rappresenta il consenso della comunità IETF. È stato sottoposto a revisione pubblica ed è stato approvato per la pubblicazione dall'Internet Engineering Steering Group (IESG). Ulteriori informazioni sugli standard Internet sono disponibili nella sezione 2 di RFC 7841.

Informazioni sullo stato attuale di questo documento, eventuali errata e come inviare feedback sono reperibili presso https://www.rfc-editor.org/info/rfc8705.

Avviso di copyright

Copyright (c) 2020 IETF Trust e le persone indicate come autori del documento. Tutti i diritti riservati.

Questo documento è soggetto a BCP 78 e alle disposizioni legali dell'IETF Trust relative ai documenti IETF (https://trustee.ietf.org/license-info) in vigore alla data di pubblicazione del presente documento. Si prega di esaminare attentamente tali documenti, poiché descrivono i diritti e le restrizioni relative a questo documento. I componenti di codice estratti da questo documento devono includere il testo della licenza Simplified BSD descritto nella sezione 4.e delle Trust Legal Provisions e sono forniti senza garanzia come descritto nella Simplified BSD License.

Contents

• 1. Introduction (Introduzione)
  • 1.1. Notazione dei requisiti e convenzioni
  • 1.2. Terminologia
• 2. Mutual TLS per l'autenticazione client OAuth
  • 2.1. Metodo mutual-TLS PKI
    • 2.1.1. Valore metadati metodo PKI
    • 2.1.2. Metadati di registrazione client
  • 2.2. Metodo mutual-TLS con certificato self-signed
    • 2.2.1. Valore metadati metodo self-signed
    • 2.2.2. Metadati di registrazione client
• 3. Access token vincolati al certificato client mutual-TLS
  • 3.1. Metodo di conferma impronta certificato JWT
  • 3.2. Metodo di conferma per introspection del token
  • 3.3. Metadati dell'authorization server
  • 3.4. Metadati di registrazione client
• 4. Client pubblici e token vincolati al certificato
• 5. Metadati per alias di endpoint mutual-TLS
• 6. Considerazioni di implementazione
  • 6.1. Authorization server
  • 6.2. Resource server
  • 6.3. Scadenza del certificato e access token vincolati
  • 6.4. Implicit grant non supportato
  • 6.5. Terminazione TLS
• 7. Considerazioni di sicurezza
  • 7.1. Refresh token vincolati al certificato
  • 7.2. Vincolo tramite impronta del certificato
  • 7.3. Versioni TLS e migliori pratiche
  • 7.4. Spoofing di certificati X.509
  • 7.5. Complessità di parsing e validazione dei certificati X.509
• 8. Considerazioni sulla privacy
• 9. Considerazioni IANA
  • 9.1. Registrazione metodi di conferma JWT
  • 9.2. Registrazione metadati authorization server
  • 9.3. Registrazione metodo di autenticazione token endpoint
  • 9.4. Registrazione risposta introspection token
  • 9.5. Registrazione metadati dynamic client registration
• 10. Riferimenti
  • 10.1. Riferimenti normativi
  • 10.2. Riferimenti informativi
• Appendice A. Esempio di claim « cnf », certificato e JWK
• Appendice B. Rapporto con Token Binding
• Ringraziamenti
• Indirizzi degli autori