Resumen

  • Una propuesta individual del IETF coloca bajo el nombre DNS del agente un registro con emisor, identificador de cliente OAuth y audiencia de un token sin permisos.
  • Retirar el registro no revoca al agente: los receptores nuevos pueden tratarlo como no vinculado. Desactivar el cliente impide tokens nuevos; los anteriores conservan una ventana de vigencia.

La placa desaparece de la puerta y el guardia nuevo pregunta menos. Esa paradoja recorre el borrador Agent DNS-OAuth Link, fechado el 20 de octubre. Un TXT _agent-oauth publicado bajo el nombre del agente indica el emisor, el cliente y una audiencia exclusiva. El receptor obtiene así las coordenadas de una comprobación. La placa no gobierna el servidor que emite tokens.

En cada llamada, el agente aporta un token JWT expedido por el servidor de su organización. El receptor consulta el DNS y las claves públicas del emisor; coteja firma, cliente, audiencia y edad. Con un registro válido, exige el token. Con un registro defectuoso, rechaza la llamada. Si no hay registro, aplica su política habitual para remitentes sin vínculo.

La prueba tiene un propósito deliberadamente pequeño. El token no puede conceder permisos y su audiencia no debe servir para acceder a recursos. El nombre del remitente se confirma por un canal protegido o por una prueba ligada a su clave, por ejemplo DPoP. Después de verificar el vínculo, el receptor decide por su cuenta qué acciones permite. Ninguna entrada DNS concede acceso a los sistemas de otro operador.

Al borrar la entrada, un receptor que jamás la vio deja de pedir esa prueba y vuelve a sus reglas normales. Uno que antes observó un vínculo válido debe seguir pidiendo el token durante un fallo de consulta DNS, hasta confirmar la eliminación mediante una consulta exitosa. Así, un corte del DNS no borra de golpe el control. El propio borrador dice que la supresión del registro no es el mecanismo de revocación: deja de imponer la prueba a receptores nuevos.

La orden que frena nuevos tokens se da en el servidor de autorización: desactivar el cliente OAuth. Los tokens ya expedidos siguen utilizables hasta su caducidad o el límite de edad que aplica el receptor; las cachés de DNS y claves forman parte del plazo efectivo. El texto recomienda un máximo general de 120 minutos y propone 5 a 15 minutos para operaciones de efecto rápido, como pagos o cambios de producción. No presenta mediciones de despliegue.

El DNS añade otro riesgo de mando. Una respuesta falsificada puede señalar un cliente controlado por un atacante; una respuesta ocultada puede hacer parecer inexistente el vínculo. El borrador recomienda firmar la zona y validar con DNSSEC. En Datatracker figura como propuesta individual I-D Exists. Una prueba de retirada debe ejecutar por separado la eliminación DNS, la desactivación del cliente y el fin de los tokens antiguos.