1. 引言 (Introduction)

本文档描述 Mutually Authenticating TLS in Federations (MATF) framework, 该框架被开发用于补充教育领域中的多边 Security Assertion Markup Language (SAML) federation. 这些 federation 通常依赖 just-in-time provisioning, 即在用户首次登录时, 根据 SAML assertion 中的信息创建用户账户. 然而, 教育工作者需要在学生访问服务之前管理资源和班级. MATF 通过安全的 machine-to-machine 通信弥补这一缺口, 并借鉴 SAML federation 的信任模型和 metadata 结构, 支持预先配置用户信息.

MATF 专门面向 machine-to-machine 场景中的安全认证而设计, 例如 RESTful API ("RESTful" 指 Representational State Transfer (REST) 架构) 以及 service-to-service 交互, 并非用于基于浏览器的认证. 由于其在浏览器环境中的适用性尚未经过研究, 因此不推荐在浏览器内使用 MATF. 这样做可能引入与标准浏览器安全模型通常处理的风险不同的风险.

这项工作不是 IETF 的产物, 不代表标准, 也尚未达成社区共识. 它旨在解决特定 federation 挑战, 并提供一个用于安全通信的框架.

TLS 由 IETF TLS Working Group 规定. TLS 1.3 定义于 [RFC8446]. 关于 TLS Working Group 的更多信息可见 https://datatracker.ietf.org/wg/tls/about/.

1.1. 保留词 (Reserved Words)

本文档是一份 Informational RFC, 这意味着它提供信息和指导, 但不规定强制性标准. 因此, 本文档中使用的关键词仅用于提供信息, 不暗示任何具体要求.

本文档中的关键词 "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "NOT RECOMMENDED", "MAY" 和 "OPTIONAL" 只有在如本文所示以全大写形式出现时, 才应按 BCP 14 [RFC2119] [RFC8174] 中的描述解释.

1.2. 术语 (Terminology)

Federation: 遵循共同安全策略和标准的受信实体网络, 使用 MATF 进行安全通信.

Federation Member: 已获准加入 federation 的实体, 可以利用 MATF 与其他成员进行安全通信.

Federation Operator: 负责 federation 整体运营和管理的实体, 包括管理 federation metadata, 执行安全策略, 以及接纳新成员.

Federation Metadata: 以密码学方式签名的文档, 包含 federation 内所有实体的信息.

Metadata Repository: 集中式存储库, 存储 federation 内所有实体的信息.

Member Metadata: federation 内与特定成员关联的实体信息.

Member Vetting: 验证并批准申请者加入 federation 的过程, 用于确保其满足安全性和可信度要求.

Trust Anchor: federation 的信任根由用于验证 federation metadata 签名的公钥建立, 这使参与方能够确信地依赖其中包含的信息.