要約

  • 11月2日に更新されたACE作業部会の草案は、認可サーバーがクライアントに代わってリソースサーバーへトークンを送信し、結果を知らせる短い配送経路を示す。現時点ではInternet-Draftだ。
  • 新設の運用節は、申請・送信結果・トークンの有効期間に関する時刻付きログを想定する。リソースサーバーの記録にはメモリや電力の制約がある。
  • サーバーは秘密情報をログに残してはならない。外部の管理者と共有する際、保管先は端末を追跡できる識別情報を削るべきだが、特別な権限が確認された相手には例外がある。

配送を引き受けたサーバーは、経過も知る

従来のACEでは、クライアントが認可サーバーからアクセス用トークンを受け取り、リソースサーバーへ持って行く。提案された短い配送経路では、認可サーバーが後半の役目を担う。送信に成功したかをクライアントへ知らせ、失敗すればトークンを返して従来の経路を使わせる。設定によっては、トークンの仕組みを知らないクライアント向けにも発行と送信を自動化できる。両サーバー間の通信は保護が必須だ。

配送を担うことで、認可サーバーは経過の記録場所にもなる。11月2日付の第09版は、前版になかった運用上の考慮事項を追加した。トークン申請、発行、送信結果、期限切れや失効、クライアントとリソースサーバーの登録について時刻付きログを想定する。リソースサーバー側にも、トークンの受け入れ・削除やアクセス失敗の記録が望まれる。ただし小型機器のメモリ、計算力、電力が許す範囲に限る。発行しただけなのか、相手に届いたのかを切り分ける材料になる。

同じ記録から端末のつながりも読める。アドレスや認証資格情報の識別子は、クライアントが誰と通信したかを結び付ける。草案は指定された保管先がログを管理し、許可された外部の管理アプリへ問い合わせや通知で提供する形を認める。サーバーが秘密鍵や導出された鍵素材を記録することは禁止する。外部提供時には追跡を助ける情報を消すよう勧めるが、適用されるプライバシー方針の下で特別に権限を持つ受け手は例外となる。保存期間と記録の細かさは運用側が決める。

秘密の記録禁止はMUST NOT、外部共有前の情報削除はSHOULD。重みは同じではない。草案には導入台数や実際の追跡事例は載っていない。問うべきなのは、認可サーバーがトークンを代理配送した後、その足跡をどの管理者がどの細かさで読めるかだ。

一次資料