Кратко

  • Индивидуальный проект предлагает DNS-запись с издателем, клиентом OAuth и отдельной аудиторией токена, который сам по себе не даёт доступа.
  • Удаление записи не отзывает агента: новый получатель может считать его не связанным. Новые токены прекращаются после отключения клиента, старые действуют до своего предела.

Снять табличку с двери — и новый охранник может перестать просить удостоверение. Такую ловушку обнаруживает проект Agent DNS-OAuth Link от 20 октября. Под именем агента появляется TXT-запись _agent-oauth с адресом издателя, идентификатором клиента и специальной аудиторией токена. Она задаёт адрес проверки. Кнопка остановки находится в другом здании.

Отправитель получает JWT-токен у сервера авторизации своей организации и прикладывает его к вызову. Получатель сверяет DNS-запись, открытые ключи издателя, подпись, клиента, аудиторию и возраст токена. При действительной записи токен обязателен. При испорченной записи вызов отклоняется. При отсутствии записи получатель применяет обычные правила для несвязанного отправителя.

Проект жёстко ограничивает значение справки: токен не должен давать разрешений, а его специальная аудитория не может открывать доступ к ресурсам. Имя отправителя подтверждается защищённым каналом либо токеном, привязанным к его ключу, например через DPoP. После проверки связи получатель всё равно сам решает, какие операции разрешить. Запись в чужом DNS не даёт права менять его систему.

Предположим, оператор просто удалил запись. Новый получатель не увидит связи и вернётся к своим обычным правилам. Тот, кто уже видел действительную запись, должен продолжать требовать токен при неудачном запросе DNS, пока успешный запрос не подтвердит удаление. Иначе временный сбой превратится в обход проверки. Раздел проекта об отзыве говорит прямо: удаление записи не отзывает агента, а только освобождает новых получателей от требования связующего токена.

Для прекращения выдачи оператор отключает клиента OAuth у издателя. Выпущенные ранее токены сохраняют силу до истечения собственного срока или предела возраста, заданного получателем; к эффективной задержке прибавляются периоды кэширования DNS и ключей. Проект рекомендует общую границу не более 120 минут и предлагает 5–15 минут для быстро действующих операций, включая платежи и изменения производственной системы. Это предлагаемые настройки, а не статистика работающего сервиса.

Поддельный ответ DNS может указать на клиента злоумышленника; подавленный ответ может скрыть связь. Проект рекомендует подпись зоны и проверку через DNSSEC. Карточка IETF пока показывает индивидуальный документ в состоянии I-D Exists. Испытание выхода агента должно отдельно удалить запись, отключить клиента и дождаться окончания старых токенов.