RFC 9449 - OAuth 2.0 所有の証明の実証 (DPoP)

• ステータス: Proposed Standard
• 発行日: September 2023
• ストリーム: IETF
• エラッタ: エラッタなし

---

概要

この文書は、アプリケーションレベルでの所有の証明 (Proof-of-Possession) メカニズムを介して、OAuth 2.0 トークンを送信者制約 (sender-constraining) するメカニズムについて説明します。このメカニズムにより、アクセスおよびリフレッシュトークンによるリプレイ攻撃の検出が可能になります。

本メモの位置付け

この文書はインターネット標準化過程 (Internet Standards Track) の文書です。

この文書はインターネット技術タスクフォース (IETF) の成果物です。これは IETF コミュニティのコンセンサスを表しています。公開レビューを受け、インターネットエンジニアリングステアリンググループ (IESG) によって公開が承認されました。インターネット標準の詳細については、RFC 7841 のセクション 2 を参照してください。

この文書の現在のステータス、正誤表、およびフィードバックの提供方法に関する情報は、https://www.rfc-editor.org/info/rfc9449 で入手できます。

著作権表示

Copyright (c) 2023 IETF Trust および文書の著者として特定された人物。無断複写・転載を禁じます。

この文書は、BCP 78 および IETF Trust の IETF 文書に関する法的規定 (https://trustee.ietf.org/license-info) の対象となり、その発行日に有効となります。これらの文書には、この文書に関するお客様の権利と制限が記載されていますので、注意深くお読みください。この文書から抽出されたコードコンポーネントには、Trust Legal Provisions のセクション 4.e に記載されている Simplified BSD License テキストが含まれている必要があり、Simplified BSD License に記載されている保証なしで提供されます。

Contents

• 1. Introduction (はじめに)
  • 1.1. Conventions and Terminology (表記規則と用語)
• 2. Objectives (目的)
• 3. Concept (概念)
• 4. DPoP Proof JWTs (DPoP 証明 JWT)
  • 4.1. The DPoP HTTP Header (DPoP HTTP ヘッダー)
  • 4.2. DPoP Proof JWT Syntax (DPoP 証明 JWT 構文)
  • 4.3. Checking DPoP Proofs (DPoP 証明のチェック)
• 5. DPoP Access Token Request (DPoP アクセストークンリクエスト)
  • 5.1. Authorization Server Metadata (認可サーバーメタデータ)
  • 5.2. Client Registration Metadata (クライアント登録メタデータ)
• 6. Public Key Confirmation (公開鍵の確認)
  • 6.1. JWK Thumbprint Confirmation Method (JWK サムプリント確認メソッド)
  • 6.2. JWK Thumbprint Confirmation Method in Token Introspection (トークンイントロスペクションにおける JWK サムプリント確認メソッド)
• 7. Protected Resource Access (保護されたリソースへのアクセス)
  • 7.1. The DPoP Authentication Scheme (DPoP 認証スキーム)
  • 7.2. Compatibility with the Bearer Authentication Scheme (Bearer 認証スキームとの互換性)
  • 7.3. Client Considerations (クライアントに関する考慮事項)
• 8. Authorization Server-Provided Nonce (認可サーバー提供のノンス)
  • 8.1. Nonce Syntax (ノンスの構文)
  • 8.2. Providing a New Nonce Value (新しいノンス値の提供)
• 9. Resource Server-Provided Nonce (リソースサーバー提供のノンス)
• 10. Authorization Code Binding to a DPoP Key (認可コードと DPoP 鍵のバインディング)
  • 10.1. DPoP with Pushed Authorization Requests
• 11. Security Considerations (セキュリティに関する考慮事項)
  • 11.1. DPoP Proof Replay
  • 11.2. DPoP Proof Pre-generation
  • 11.3. DPoP Nonce Downgrade
  • 11.4. Untrusted Code in the Client Context
  • 11.5. Signed JWT Swapping
  • 11.6. Signature Algorithms
  • 11.7. Request Integrity
  • 11.8. Access Token and Public Key Binding
  • 11.9. Authorization Code and Public Key Binding
  • 11.10. Hash Algorithm Agility
  • 11.11. Binding to Client Identity
• 12. IANA Considerations (IANA に関する考慮事項)
  • 12.1. OAuth Access Token Types Registration
  • 12.2. OAuth Extensions Error Registration
  • 12.3. OAuth Parameters Registration
  • 12.4. HTTP Authentication Schemes Registration
  • 12.5. Media Type Registration
  • 12.6. JWT Confirmation Methods Registration
  • 12.7. JSON Web Token Claims Registration
  • 12.8. Hypertext Transfer Protocol (HTTP) Field Name Registration
  • 12.9. OAuth Authorization Server Metadata Registration
  • 12.10. OAuth Dynamic Client Registration Metadata
• 13. References (参考文献)
  • 13.1. Normative References (引用規格)
  • 13.2. Informative References (参考資料)
• Acknowledgements (謝辞)
• Authors' Addresses (著者のアドレス)

---

関連リソース

• 正式テキスト: RFC 9449 (TXT)
• 公式ページ: RFC 9449 DataTracker
• 情報ページ: RFC Editor Info