요약

  • ACE 작업반의 11월 2일 초안은 인가 서버가 클라이언트를 대신해 자원 서버에 접근 토큰을 올리고 결과를 알려 주는 짧은 전달 경로를 제시한다. 아직 Internet-Draft다.
  • 새 운영 절은 토큰 요청, 전송 결과, 수명 주기에 관한 시각 기록을 예상한다. 자원 서버의 기록 범위는 메모리와 처리 능력, 전력에 좌우된다.
  • 서버는 운영 비밀을 로그에 남겨서는 안 된다. 외부 관리 도구에 기록을 내줄 때 지정된 저장 지점은 기기 추적에 쓰일 식별 정보를 지우는 것이 권고되며, 특별히 승인된 수신자는 예외다.

짧아진 전달 경로가 기록을 늘린다

기존 ACE 절차에서는 클라이언트가 인가 서버에서 접근 토큰을 받아 자원 서버에 직접 전달한다. 새로 제안된 짧은 배포 경로에서는 인가 서버가 대신 보낸다. 서버는 전송 성공 여부를 알리고, 실패하면 클라이언트에게 토큰을 건네 기존 절차를 밟게 한다. 설정에 따라 토큰 교환 자체를 모르는 클라이언트를 위해 발급과 전송을 자동으로 처리할 수도 있다. 두 서버 사이의 통신은 보호해야 한다.

전달 책임을 맡은 서버는 결과를 가장 잘 아는 관찰자가 된다. 11월 2일 나온 -09판에는 앞선 -08판에 없던 운영 절이 있다. 인가 서버는 요청 접수, 발급, 업로드 결과, 만료와 폐기, 클라이언트와 자원 서버 등록에 관한 시각 기록을 만들 것으로 예상된다. 자원 서버도 자원이 허용하는 범위에서 토큰 수락·거절·삭제와 접근 실패를 기록하는 것이 바람직하다. 운영자는 토큰이 발급만 됐는지, 실제로 도착했는지 구분할 수 있다.

문제는 그 기록이 연락 지도가 될 수도 있다는 점이다. 주소와 인증 자격 증명의 식별자는 기기와 서버의 여러 접촉을 연결한다. 초안은 지정된 저장 지점이 로그를 보관하고 승인된 외부 관리 앱에 조회 또는 알림으로 제공할 수 있도록 한다. 서버가 개인키나 파생 키 재료 등 비밀 정보를 기록하는 것은 금지된다. 외부 공유 전에 저장 지점은 추적을 쉽게 하는 정보를 가려야 한다는 권고가 있다. 실제로 특별한 권한을 받고 시행 중인 개인정보 정책에 따라 자격을 갖춘 수신자는 예외가 될 수 있다. 얼마나 자세히, 얼마 동안 기록할지는 앱과 운영자가 정한다.

표현의 무게는 다르다. 비밀을 로그에 넣지 말라는 규정은 MUST NOT, 외부 제공 전에 식별 정보를 가리라는 규정은 SHOULD다. 문서에는 실제 설치 규모나 추적 사고가 실려 있지 않다. 인가 서버가 토큰을 대신 보냈을 때, 그 뒤의 기기 기록을 누구에게 어느 수준까지 보여 줄지가 남는 결정이다.

원문 자료