الخلاصة

  • تقترح مسودة فردية سجل DNS يعلن جهة إصدار الرمز ومعرّف عميل OAuth وجمهوراً مخصصاً لإثبات لا يمنح أي صلاحية.
  • حذف السجل لا يبطل الوكيل؛ قد يعامله مستقبِل جديد على أنه غير مرتبط. تعطيل العميل يوقف الرموز الجديدة، مع بقاء نافذة للرموز التي صدرت من قبل.

أزل الاسم عن الباب، فقد يكف الحارس الجديد عن طلب البطاقة. هذه مفارقة مسودة ربط اسم الوكيل بين DNS وOAuth، المؤرخة في 20 أكتوبر. يقيم المشغل سجل TXT باسم _agent-oauth تحت اسم الوكيل، ويضع فيه جهة الإصدار ومعرّف العميل وجمهور الرمز الخاص. السجل يحدد طريق الاستعلام؛ ولا يملك زر إيقاف الإصدار.

يحصل الوكيل على رمز وصول JWT من خادم تفويض مؤسسته ويرسله مع الطلب. يقرأ المستقبِل السجل ومفاتيح جهة الإصدار العامة، ثم يطابق التوقيع والعميل والجمهور وعمر الرمز. إذا صح السجل وجب الرمز، وإذا فسد السجل رُفض الطلب. وعند غياب السجل يعمل المستقبِل بسياساته العادية تجاه مرسل غير مرتبط.

الغرض من هذا الرمز ضيق عمداً. تشترط المسودة ألا يمنح أذونات، وألا تقبل خوادم الموارد جمهوره المخصص. ويثبت المستقبِل اسم المرسل بقناة محمية أو برمز مرتبط بمفتاحه، مثل DPoP. بعد نجاح فحص الربط لا يزال قرار السماح بالفعل محلياً لدى المستقبِل. نشر الاسم لا يمنح المشغل سلطة على موارد شريكه.

ماذا يحدث إذا حذف المشغل سجل DNS فقط؟ من لم ير الوكيل من قبل لا يجد ربطاً، فيرجع إلى قواعده المعتادة. أما من سبق أن رأى سجلاً صالحاً فعليه أن يستمر في طلب الرمز خلال فشل مؤقت في استعلام DNS، حتى يثبت الحذف باستعلام ناجح. بذلك لا يتحول عطل الدليل إلى إعفاء خفي. وتقول المسودة في باب الإبطال إن حذف السجل ليس آلية إبطال الوكيل؛ أثره أن المستقبلين الجدد لا يعودون ملزمين بطلب رمز الربط.

إيقاف الرموز الجديدة يتم بتعطيل عميل OAuth على خادم التفويض. تبقى الرموز التي صدرت سابقاً صالحة حتى انتهاء أجلها أو تجاوز العمر الأقصى الذي يحدده المستقبِل، مع دخول تخزين DNS والمفاتيح المؤقت في حساب التأخر. توصي المسودة بعمر أقصى عام لا يزيد على 120 دقيقة، وتقترح 5 إلى 15 دقيقة للأفعال السريعة الأثر مثل الدفع أو تعديل أنظمة الإنتاج. هذه حدود مقترحة، لا قياسات من نشر قائم.

الاعتماد على DNS يحمل كلفة أمنية: جواب مزور قد يشير إلى عميل يملكه مهاجم، وجواب محجوب قد يخفي الربط. تدعو المسودة إلى توقيع المنطقة والتحقق من الإجابة عبر DNSSEC. لا يزال سجل IETF يصنفها مسودة فردية بحالة I-D Exists. تجربة إيقاف جادة تختبر حذف السجل وتعطيل العميل وانتهاء عمر آخر رمز على حدة.