要約

  • 新しい個人草案は、エージェント名の下に発行元、OAuthクライアント、専用の受け手を示すDNS記録を置き、受信者に権限を与えない短命な証明を確認させる。
  • DNS記録の削除は失効操作ではない。新規の受信者は未連携として扱える。新しい証明の発行を止めるにはクライアントを無効にし、既発行分の期限も待つ必要がある。

玄関の札を外した途端、初めて来た警備員が身分証を求めなくなる。20日付の草案は、そのような事態を避けるには何を止めるべきかを教える。エージェント名の下のTXT記録 _agent-oauth に、認可サーバーの発行元、OAuthクライアントID、証明専用の受け手を記す。記録は確認先を示す道標で、発行元の電源ではない。

送信するエージェントは組織の認可サーバーから JWTアクセストークン を受け取り、呼び出しに添える。受信者はDNS記録と発行元の公開鍵を取り寄せ、署名、クライアント、受け手、発行時刻を照合する。有効な記録があればトークンが必須になる。記録が壊れていれば拒否する。記録がなければ未連携の相手に適用する通常の規則へ戻る。

このトークンは万能の入場券ではない。草案は権限を付けず、専用の受け手を一般の資源サーバーに認めさせない。送信者名は保護された通信路か、DPoP のように送信者の鍵へ結び付く証明で確かめる。連携の確認後も、その相手にどんな操作を許すかは受信者が決める。

ではDNS記録だけを削除するとどうなるか。初めて見る受信者には連携が見えず、普通の未連携相手として扱われる。以前に有効な記録を見た受信者は、DNS照会が失敗しただけなら証明を求め続け、正常な照会で削除を確認するまで緩めない。障害を失効と取り違えないためだ。草案の失効節は、記録削除がエージェントを止める仕組みではなく、新規の受信者による証明要求を止めるものだと述べる。

新しい証明を止める操作は認可サーバーでOAuthクライアントを無効にすることだ。ただし発行済みトークンは期限、または受信者が認める最大経過時間まで使える。DNSと鍵のキャッシュも時間計算に入る。草案は一般向けに最大120分以下を推奨し、支払いや本番環境の変更などすぐ結果が出る操作には5〜15分の短い設定を例示する。稼働中のシステムを測った数値ではない。

DNS回答の偽造は攻撃者のクライアントへ誘導し、回答の遮断は連携を隠し得る。草案はゾーン署名と DNSSEC 検証を推奨する。IETFの登録情報では現在I-D Existsの個人草案だ。記録削除、クライアント無効化、旧トークンの期限到来を別々に試す停止演習が要る。