Resumo

  • A TRL da RFC 9770 informa hashes de tokens revogados e não expirados; ela não torna instantânea a consciência de todos os Resource Servers.
  • Decisão de revogar, atualização no AS, entrega ou consulta, recebimento, expulsão local e resultado de uma requisição são recibos diferentes.

O problema não é que a palavra “revogado” seja falsa. É que ela costuma ser usada cedo demais. Um Authorization Server pode decidir que um token não deve sobreviver, pôr seu hash na Token Revocation List e emitir uma notificação. Um equipamento limitado pode estar dormindo, desconectado ou apenas seguindo uma cadência de consulta que ainda não chegou ao novo estado.

Publicada em 2025 por Marco Tiloca, Francesca Palombini, Samuel Echeverria e Grace Lewis, a RFC 9770 permite que dispositivos registrados no ACE consultem a TRL por CoAP, peçam visão completa ou diferenças, e usem Observe. O hash identifica o token para esse mecanismo. Não explica por que ele foi revogado, nem demonstra quem tomou a decisão ou se uma transação posterior foi negada. O próprio RFC deixa fora de escopo tanto a declaração de revogação quanto a forma pela qual o AS toma conhecimento dela.

Observe reduz atraso, mas não cria onisciência. O documento alerta que um atacante pode suprimir notificações e impedir que um solicitante descubra uma revogação. Por isso, não se deve depender apenas da notificação: consultas completas periódicas seguem uma política local, que precisa conciliar disponibilidade e restrições do equipamento. Sem resposta ou diante de erro, o solicitante não pode concluir nada sobre revogação ou expiração. Coleções de diferenças podem perder itens antigos; listas completas podem ser grandes demais para o dispositivo.

Ao receber uma resposta relevante, há uma obrigação específica: o dispositivo deve expurgar todo token armazenado associado a hash listado; se for RS, deve reter o hash. É um fato local, verificável no ponto de aplicação. Não demonstra que todos os pares receberam o aviso, nem que uma solicitação já foi recusada.

A RFC torna a consequência explícita. Entre a revogação e a ciência do RS, o cliente pode obter acesso com um token ainda armazenado; isso é uma violação de segurança. A lista central é contexto importante, mas a evidência final está na máquina que processa o acesso.

O princípio de Heng Lu ajuda a não inflar uma interface comum. A TRL coordena informação; políticas de polling, conectividade, armazenamento e decisão continuam locais ao código em execução.

Fontes