طريق سريع للوكيل، وموافقة المستخدم محفوظة في قائمة قديمة

الخلاصة

• يحتفظ مركز ترخيص الوكلاء المقترح بروابط المستخدم ووكلائه وسياسة الوصول الآلي. الخدمة المدرجة في قائمة السماح تمر بلا سؤال جديد، والمحظورة تُرفض، وغير المدرجة تعود إلى تأكيد الإنسان.
• ينبغي أن يحمل رمز الوصول معرفات حساب المستخدم والوكيل والمركز، لكن بيان كون الموافقة آلية أو بشرية اختياري. قسم الاعتبارات الأمنية لا يزال TBD.

يمكن وضع اسم الخدمة في القائمة اليوم، ثم يفتح لها الباب غداً من غير جرس. هذه هي النقطة الحاسمة في مسودة مركز ترخيص الوكلاء، التي تركز على وكلاء المستخدم العاملين في أجهزته الشخصية. تخفيف المقاطعات مكسب واضح؛ لكنه ينقل قراراً حياً إلى سياسة مخزنة تستقبل طلبات لم يرها صاحبها بعد.

يسمي النص المركز AAC. يحتفظ بهوية المستخدم وصلاته بمجموعات الوكلاء وبالوكلاء المفردين وبسياسات الوصول المخصصة. يرسل الوكيل طلبه إلى الخدمة مع معرف المستخدم والمركز، فتوجهه الخدمة إلى المركز. عند وصول معرفات المستخدم والوكيل والخدمة، يختار AAC أحد ثلاثة مسارات: قائمة الوصول الآلي تسمح من دون تدخل بشري في هذه المرة، وقائمة المنع ترفض، وما لا يقع في القائمتين يتطلب تأكيد المستخدم.

عند القبول يصدر المركز شفرة ترخيص على نمط OAuth. تستبدلها الخدمة برمز وصول، وتتحقق منه، ثم تقدم ما تسمح به حقوق المستخدم. تقترح المسودة أن يتضمن الرمز معرفات الحساب والوكيل وAAC. أما معرف نمط القرار، آلياً كان أو بشرياً، فيمكن تضمينه فقط. بذلك قد تثبت الخدمة صحة الرمز دون أن تعرف من وافق على الطلب المعين.

تفيد القائمة في الأعمال المتكررة. لكن النص لا يحدد نطاقاً لكل فعل داخل الخدمة المدرجة، ولا سجل نسخ للسياسة، ولا موعد انتهاء للقيد أو تسلسل سحبه. ويؤكد أن الخدمة تعمل وفق حقوق المستخدم، إلا أن السماح بزيارة الخدمة لا يساوي السماح بعملية شراء أو إفشاء بيانات أو تغيير حساب. من يضع الحد الأدق؟ وما الدليل الذي يصل إلى الطرف المنفذ؟

قسم Security Considerations مكتوب فيه TBD وحسب. يقدم RFC 9700 إرشادات أمن OAuth، ويشرح RFC 7636 حماية شفرة الترخيص بتقنية PKCE. تحتاج المسودة إلى تحديد دور الوكيل والمركز والخدمة في استعمال هذه الحماية؛ ولا تقدم تجربة نشر.

يسجل Datatracker الوثيقة كمسودة فردية Informational بحالة I-D Exists. تجربة مفيدة: أضف خدمة إلى القائمة، اسمح بمهمة واحدة محددة، غيّر القيد، ثم افحص الرمز التالي من جهة الخدمة. صحة التوقيع شيء، وإثبات أن المستخدم وافق على هذا الفعل الآن شيء آخر.