요약

  • Rohan Mahy가 저술한 RFC 9734는 인스턴트 메시징 클라이언트의 신원을 증명하는 데 사용되는 인증서를 위한 X.509 확장 키 용도 값id-kp-imUri를 정의합니다.
  • 이 EKU는 인증서의 허용 용도를 좁히고 프로토콜 간 모호성을 줄입니다. 이는 전달, 표시, 보존 또는 수신자 조작 기록이 아닙니다.

특수성이 핵심이다

Rohan Mahy의 RFC 9734는 사소하지만 결과가 중요한 PKI 문제를 해결합니다. 인스턴트 메시징 시스템은 주체 대체 이름에 IM 또는 XMPP URI가 포함된 클라이언트 신원 인증서를 사용할 수 있습니다. 인증서가 일반적인 클라이언트 또는 서버 인증 용도만 갖고 있다면, 발급자와 신뢰 애플리케이션은 이 용도를 다른 프로토콜 용도와 구분하기가 더 어렵습니다. RFC 9734는 이 때문에id-kp-imUri를 등록합니다.

이 RFC의 보안 조언은 의도적으로 실용적입니다. 발급자는 이 용도를 일반적인 clientAuth 또는 serverAuth와 함께 추가해서는 안 되며, 그렇게 하면 추가된 특수성이 무색해지기 때문입니다. 새 값은 새 메시징 서비스를 만들지 않습니다. 인증서 주장 하나를 더 좁힐 뿐입니다. 즉, 이 자격 증명은 IM 신원 자격 증명에 서명하기 위한 것이라는 주장입니다.

이것이 가치 있는 이유는 인증서가 이동하기 때문입니다. 키는 라이브러리에 복사될 수 있고, 한 기기는 여러 프로토콜을 사용할 수 있으며, 한 조직은 채팅 클라이언트, 웹 서비스, 내부 신원 시스템에 대해 서로 다른 정책 소유자를 둘 수 있습니다. 용도 필드는 신뢰 당사자가 의도된 경로 밖의 자격 증명을 거부할 근거를 제공합니다. 주변의 모든 결정이 해결되었다고 가장하지 않으면서 한 부류의 프로토콜 간 혼란을 줄입니다.

자격 증명 용도와 메시지 이벤트는 서로 다른 기록이다

유혹은 검증이 성공한 후에 찾아옵니다. 대시보드는 유효한 체인과 IM EKU를 표시한 뒤, 알림을 전달됨으로 또는 대화를 확인됨으로 묘사할 수 있습니다. 그 결론은 여러 시스템을 건너뜁니다. 인증서는 자격 증명과 그 허용 용도에 대한 주장을 뒷받침할 수 있습니다. 그러나 클라이언트가 메시지를 작성하는 것, 서버가 이를 수락하는 것, 릴레이가 이를 전달하는 것, 수신 기기가 이를 복호화하는 것, 사용자 인터페이스가 이를 렌더링하는 것, 보존 시스템이 이를 유지하는 것을 관찰할 수 없습니다.

이후의 각 질문에는 소유자가 있습니다. 애플리케이션은 제출을 기록할 수 있습니다. 서비스는 수락과 큐 처리 결과를 기록할 수 있습니다. 수신 클라이언트는 복호화 또는 표시를 관찰할 수 있습니다. 기록 시스템은 자신의 보존 통제를 진술할 수 있습니다. 이러한 기록들은 상관 식별자와 시간 의미론으로 연결될 수 있지만, EKU 확장에서 만들어져서는 안 됩니다.

질문도움이 될 수 있는 근거IM EKU만으로 확립할 수 없는 것
이 자격 증명이 IM 신원을 위한 것인가?인증서, 체인 및 EKU 검증메시지가 존재했는지 여부
서비스가 메시지를 수락했는가?서비스 요청 및 수락 기록수신자 측 결과
콘텐츠가 기기에 제공되었는가?수신자 측 프로토콜/클라이언트 근거사람이 이를 읽었는지 여부
분쟁을 위한 근거가 보존되었는가?정의된 보존 및 무결성 기록보존이 실제로 이루어졌다는 사실

Mahy의 기여는 범위가 한정되어 있다

공개 IETF 기록은 Mahy를 RFC 9734의 저자이자 Digital Emblems 워킹그룹 의장으로 식별합니다. 이 사실들은 중요합니다. 이 RFC는 사적 제품 설정이 아니라 IETF 표준 트랙 메커니즘이기 때문입니다. 그러나 이 사실들이 인증서 발급자, 메시징 공급자, MLS 배포 또는 개별 대화에 대한 권한을 저자에게 이전하지는 않습니다.

이러한 분리는 인터넷 표준의 건강한 특징입니다. 저자는 상호 운용 가능한 동작을 틀을 잡고, 발급자는 발급 결정을 내리고, 구현자는 검증을 어떻게 강제할지 결정하고, 운영자는 시스템을 운영하며, 사용자와 수신 기기는 결과를 마주합니다. 인물 프로필은 이 서로 다른 형태의 책임을 보존할 때 더 정확해지며, 덜 중요해지지 않습니다.

출처