요약

  • RFC 9770은 ACE 인가 서버가 토큰 폐기 목록(Token Revocation List)을 공개하고 통지할 수 있게 하지만, 토큰이 서버에서는 폐기되었음에도 변경을 인지하지 못한 리소스 서버에서 여전히 수용되는 시간창을 명시적으로 인정합니다.
  • 실질적인 증거 사슬은 폐기 기록보다 깁니다. AS 판단, TRL 갱신, 조회 또는 Observe 전달, 수신자 처리, 로컬 토큰 삭제, 그리고 그 이후 측정된 요청이 각각 서로 다른 질문에 답합니다.

폐기는 흔히 스위치처럼 이야기됩니다. 권한이 존재하고, 누군가 그것을 폐기하며, 기기는 더 이상 작동할 수 없다는 식입니다. 그러나 그 설명은 중간에 있는 분산 시스템을 감춥니다. 제약 환경에서는 인가 판단이 한 기기에서 이루어지는 반면, 이를 강제하는 리소스 서버는 간헐적으로만 연결되고, 에너지를 절약하며, 로컬 토큰 저장소를 들고 있거나 갱신을 놓칠 수 있습니다.

RFC 9770은 그 중간 지점에 실용적이되 의도적으로 한정된 프로토콜을 제공합니다. Marco Tiloca, Francesca Palombini, Samuel Echeverria, Grace Lewis가 저술한 2025년 Standards Track 문서입니다. ACE에서 등록된 클라이언트와 리소스 서버는 CoAP을 통해 인가 서버로부터 토큰 폐기 목록(TRL)을 얻을 수 있습니다. 현재 전체 목록을 요청하거나, 차이를 요청하거나, CoAP Observe로 구독할 수 있습니다. 목록에는 폐기되었으나 아직 만료되지 않은 접근 토큰을 식별하는 해시가 들어 있습니다.

이것은 실질적인 조정입니다. 모든 토큰의 즉각적인 물리적 회수는 아닙니다. 이 RFC는 토큰이 폐기로 선언되는 과정과 인가 서버가 그렇게 알게 되는 방법 모두를 명시적으로 범위 밖으로 둡니다. 따라서 TRL에 해시가 나타난다는 사실은 정책이 왜 바뀌었는지도, 근본 판단이 올바른지도 입증하지 않습니다. 그것은 AS가 자체적으로 갱신을 했다는 증거이지, 접근 요청 전체 이력에 대한 이식 가능한 판정이 아닙니다.

전달 경계 역시 중요합니다. TRL이 변경된 후 AS는 구독 중이며 관련 부분 집합이 바뀐 기기에 Observe 통지를 보냅니다. 그러나 보낸 통지가 받은 통지는 아닙니다. RFC 9770은 통지를 차단할 수 있는 공격자가 요청자가 자신의 토큰이 폐기된 사실을 영원히 알지 못하게 할 수 있다고 경고합니다. 그 결과 요청자는 Observe에만 의존해서는 안 되며, 가용성과 운용 패턴을 고려한 애플리케이션 정책에 따라 현재 목록을 폴링해야 한다고 규정합니다.

이 문서는 또한 침묵을 읽을 수 있는 신호로 만들기를 거부합니다. 응답이 없거나 오류를 받은 요청자는 폐기나 만료에 대해 어떤 결론도 내려서는 안 됩니다. 조회 실패는 유효성 지속의 증거도, 회수의 증거도 아닙니다. 차이 이력은 경계를 둘 수 있고, 오래된 계열 항목은 이후 조회 전에 사라질 수 있습니다. 전체 조회에는 제약 기기 고유의 비용이 있습니다. 기기가 큰 관련 목록을 처리할 준비가 되어 있지 않을 수 있기 때문입니다. 이들은 운영상 절충이며, 대시보드 라벨로 지울 수 있는 공백이 아닙니다.

관련 정보가 실제로 도착하면 적용되는 엄격한 로컬 규칙이 있습니다. TRL 응답을 받은 등록 기기는 목록에 있는 해시와 연관된 저장된 접근 토큰을 각각 삭제(expunge)해야 합니다. RS는 토큰을 삭제한 뒤에도 해시를 보존해야 합니다. 이 요구는 수신자 측 상태 전이를 명시한다는 점에서 가치가 있습니다. 그러나 그것은 거슬러 올라가 AS의 이전 통지가 도착했음을 증명하지 못하고, 옆으로 모든 피어가 같은 전이를 했음을 증명하지 못하며, 앞으로 클라이언트가 보호된 모든 자원에서 거부되었음을 증명하지도 못합니다.

RFC 9770은 남은 노출을 완화 없이 그대로 지명합니다. 클라이언트는 자신의 토큰이 폐기된 후 RS가 그 사실을 인지하기 전에 자원에 접근할 수 있습니다. RS가 아직 토큰을 보유하고 있다면, 그렇게 되어서는 안 됨에도 접근이 성공할 수 있고, RFC는 이를 보안 위반(security violation)이라고 부릅니다. 이 문장은 일반적인 '폐기됨' 상태를 구체적인 증거 규율로 바꿉니다.

Lu Heng이 강조하는 최소 공통 표면은 이 경계를 올바르게 읽는 데 도움이 됩니다. TRL 메커니즘은 좁은 진술만을 이식 가능하게 만듭니다. 실제 결정적인 행위들 — 도달 가능한 서버, 수용된 CoAP 교환, 폴링 주기, 로컬 저장소 변이, 보호 자원 판단 — 은 실행 중인 시스템에 남아 있습니다. 이들은 중앙 목록의 존재에서 빌려오는 것이 아니라, 그 자리에서 기록되고 평가되어야 합니다.

출처