8. Security Considerations (セキュリティに関する考察)

8. Security Considerations (セキュリティに関する考察)

CWT のセキュリティは COSE が提供する保護に依存しています。CWT 内のクレームが保護されていない限り, 攻撃者はクレームを変更, 追加, または削除できます。

CWT で伝達されるクレームは認可決定を行うために使用される可能性があるため, CWT を転送中に保護するだけでなく, 受信者がクレームを組み立て CWT を作成した当事者を認証できることも重要です。CWT を作成した当事者に対する受信者の信頼がなければ, 妥当な認可決定を行うことはできません。さらに, CWT の作成者は, CWT に含める前に各クレーム値を慎重に評価する必要があります。これにより, 受信者は提供された情報の妥当性を保証できます。

構文的には, Nested CWTs の署名と暗号化操作は任意の順序で適用できます。ただし, 署名と暗号化の両方が必要な場合, 通常, 生成者はメッセージに署名してから結果を暗号化する必要があります (したがって署名を暗号化します)。これにより, 署名が取り除かれて暗号化されたメッセージだけが残る攻撃を防ぎ, 署名者のプライバシーも提供します。さらに, 暗号化されたテキストに対する署名は, 多くの法域で有効とは見なされません。