IETF97 Update oauth tokbind

https://lepidum.co.jp/ Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.
IETF97 Seoul
OAUTH関連レポート
株式会社レピダム
前田薫 (@mad_p)
IETF97報告会 2016/12/16
IETF97報告会 2016/12/16

Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/
Agenda
n WG
n oauth
n tokbind
n IETF97
n Seoul, KR
n Nov 13-18, 2016
IETF97報告会 2016/12/16

⾃⼰紹介
n 名前
n 前⽥薫 @mad_p
n 所属
n 株式会社レピダム
シニアプログラマ
n コミュニティー活動
n ISOC-JP PC
n Lightweight Language
n Identity Conference
n http2study
n 業務領域
n 認証・認可、デジタル
アイデンティティー、
プライバシー
n 標準化⽀援
n ソフトウェアセキュリ
ティー、脆弱性
n IETFとの関わり
n IETF89 Londonより
n ART, SECエリア中⼼
IETF97報告会 2016/12/16

oauth WG Overview
n ⽉曜⽇と⽔曜⽇の2コマ開催
n Minutes draft
n https://www.ietf.org/proceedings/97/minutes/min
utes-97-oauth-00.txt
n Device Flow: ログイン⼿段のないデバイスは
スマホで認証
n OAuth2向けToken Bindingの話がまだ続く
n セキュリティー等に関するBCPを作成する
IETF97報告会 2016/12/16

oauth WG Documents Update
n draft-ietf-oauth-amr-values-03 → IESG
Authentication Method Reference Values
n 認可に際し、使⽤した認証⼿段(パスワード、指紋など)を表現する
ための語彙
n draft-ietf-oauth-jwsreq-09 → IESG
The OAuth 2.0 Authorization Framework: JWT Secured
Authorization Request (JAR)
n 認可リクエストをJWTにパッケージし、署名(JWS)または暗号化
(JWE)を可能とする
n draft-ietf-oauth-native-apps-05
OAuth 2.0 for Native Apps
n スマホなどのネイティブアプリでのOAuth/OpenID Connectフローに
おけるベストプラクティス
n いくつかの最終調整を経てIESGへ
IETF97報告会 2016/12/16

oauth WG Presentations (1/2)
n Hannes Tschofenig: Device Flow
n TVなど⼊⼒装置がないが表⽰装置はあるデバイス。スマホや
PCから表⽰されたコードを⼊⼒して認可を⾏う
n Mike Johns: Authorization Server Metadata
n IdP Mix-up Attackに対する緩和策として、エンドポイント情
報をサーバーメタデータとして提供する形式を定める
n → 認可サーバーのメタデータを独⽴した⽂書としてpublish
n → リソースサーバーについては説明不⾜
n Brian Campbell: OAuth 2.0 Token Binding
n tokbind WGからoauth WGへ持ってきた。OAuth 2.0でのToken
Bindingの活⽤⽅法
IETF97報告会 2016/12/16

oauth WG Presentations (2/2)
n Brain Campbel: OAuth Token Exchange
n すでに得ている認可トークンを利⽤して権限委譲や偽装を⾏うトークンを
得る
n → WGLC前にもっと実装経験が必要
n Torsten Lodderstedt: OAuth Security
n OAuth2のセキュリティー上の問題やanti patternsなどをまとめる
n 前回BerlinでBCPの必要性が⽰された
n → セキュリティーに限定せずBCPとしてWGアイテムに
n Justin Richer: HTTP Signing
n リソースサーバーへのリクエストをJWTにパッケージして署名/暗号化する
n → MLで議論。実装者がいるのかどうか
n John Bradley: Resource Indicator
n access_tokenを使⽤するリソースサーバーをクライアントから認可サー
バーに伝えるためのパラメータ
IETF97報告会 2016/12/16

Device Flow (1/2)
IETF97報告会 2016/12/16
https://www.ietf.org/proceedings/96/slides/slides-96-oauth-2.pdf

Device Flow (2/2)
n 3 open issues
n polling
n AS→device向きにポーリングするのださいよね
n そのままがシンプルでよい
n HTTP/2ベースのlong-pollingならリソース⾷わない
n OpenID MODRNA WGではpull/pushを検討中
n UI関連
n code と verification URIをユーザーがデバイスで⼊⼒しなければなら
ない
n ガイダンスが必要か?
n 他の⼿段
n 例: ユーザーが電話番号を⼊⼒、SMSでcodeを送る
n このような他の⼿段もdocumentすべきか
n 結論: experienceがあれば⼊れる、なければ⼊れない
IETF97報告会 2016/12/16

Token Binding for OAuth (1/2)
n tokbind側の⽂書を修正
n referred TBID trigger
n application specificに決めてよい
n key scoping rules
n TBIDは特にnative appで、何をしているかわかるとき
にはIdPとRPとで同⼀にしてもよい
n JWT、id_tokenでのtoken bindingの表現
n cnfクレーム(RFC7800)にtbhとしてTBIDのハッ
シュを⼊れる
IETF97報告会 2016/12/16

Token Binding for OAuth (2/2)
n Access Token
n トリガ問題(前回) → アプリが知っているでOK
n ATをtoken bindした場合、resource serverが検証できるために
はRS向けのTBIDにbindする必要がある
n TBIDはeTLD+1をスコープとするべき(SHOULD)
n → 複数ドメインにまたがるリソースで同⼀のATを使えない
n Authorization code
n codeを提⽰する接続にbindする
n native client: native client →★→ token endpoint
n app server client: browser →★→ redirect_uri → token endpoint
n pkce_challengeの仕組みを使って運ぶ案が⽰された
n 対downgrade attack
n token bindingを使うかどうかをメタデータに⼊れる
IETF97報告会 2016/12/16

oauth WGまとめ
n OAuth2プロトコル成⽴後、周辺の拡張、プ
ロファイルなどの策定が進む
n Token Bindingについて議論が進んだ
n OAuth2に対する攻撃と緩和策をBCPとして
まとめる作業に着⼿
n セキュリティーに限定しない
IETF97報告会 2016/12/16

tokbind WG Overview
n ⽉曜⽇開催
n Minutes draft
https://www.ietf.org/proceedings/97/minutes/
minutes-97-tokbind-01.txt
n Token Bindingのコアドキュメントは順調
n WGLC 〜11/30
n 0-RTTやreverse proxyでの扱いについて検討
n Chromeを使ったデモ
IETF97報告会 2016/12/16

Token Binding の概要
n 参考: http://www.slideshare.net/KaoruMaeda/tokbindfido
IETF97報告会 2016/12/16
TLS接続
Exported Key Material (EKM)
EKM
EKMを秘密鍵で署名、
TokenBindingID(公開鍵)と
セットにして送る
もらった公開鍵と
EKMで署名検証
• いま話してる相手が
• この公開鍵に対応した
秘密鍵を持っている
• トークンとTBIDを関連
づける
TokenBinding
サーバーごとに
鍵ペアを⽣成

tokbind WG Presentations
n Andrei Popov: Changes in the Core Token Binding I-Ds Since
IETF 96
n コア⽂書3件の残ったissueなど。renegotiation、0-RTT、OAuth
関連の議論
n コア⽂書はWGLCに突⼊し、残issueはWGLCコメントと扱う
n Nick Harper: Token Binding for 0-RTT TLS 1.3 Connections
n → WGアイテム
n TLS 1.3で導⼊される0-RTTでtoken bindingを使う場合の
exported key material (EKM)について
n Brian Campbell: HTTPS Token Binding & TLS Termination
n → WGアイテム
n reverse proxyでTLSを終端する場合、どのようにtoken binding
情報をアプリサーバーに渡すか
IETF97報告会 2016/12/16

core⽂書関連の議論
n renegotiationによってEKMが変わる
n 変更前/変更後どちらのEKMを使うか?
n → アプリがEKMを取得してTB messageを作ってから、送信する
までの間にリネゴが⾛る可能性は常にある
n → そのような場合はリトライ
n Profileで規定されない限りrenegotiation禁⽌
n OAuthにやさしいTB修正案
n oauthの項(前述)で⽰した修正案でOK
n JavaScriptからのFetchでreferred TBIDを指定したい
n JSのオリジン以外のTBIDを送信指⽰できるべきでない
n → おっとそれだといろいろ困るんだけど!
n →CORS Access-Control-Allow-Referred-Token-Binding?
n → まぬけなRSがあって同⼀のeTLD+1の送出許可を出すおそれ
IETF97報告会 2016/12/16

0-RTTとtoken binding EKMの問題
n RFC 5705 exporterはTLS handshakeが終わらない
と使えない → 0-RTTでは使えない
n 現ドラフトの案: early exporterを定義
n 0-RTT acceptされたらearly exporterをずっと使う
n rejectされたらRFC5705を使う
n replay protection
n 新しいTLS extensionでnonceを送り、サーバーから
返す案
n TB専⽤でなく、より⼀般的な解があるはず。もっ
と考えよう
IETF97報告会 2016/12/16

reverse proxy
n TLS terminatorからアプリサーバーへ「何か」
情報を渡さないとTBは使えない
n 「何か」を標準化しないと実装がたくさんできて
困りそう
n 2つのアプローチ
n TLS terminatorでTBをvalidateして、TB系ヘッダーと
してバックエンドサーバーへ検証済と送る
n LBでアプリレイヤの検証をするのか?
n TLS terminatorからexportしてTBメッセージをヘッ
ダーで渡し、アプリサーバーが検証する
n 検証失敗時のアプリサーバーからの切断指⽰が難しい。
HTTP status code?
IETF97報告会 2016/12/16

tokbind WG まとめ
n Token Bindingのコア⽂書はWGLCに
n 残ったissueはコーナーケースだが重要
n OAuthとの親和性向上
n 実⽤化に向けての検討も進む
n 0-RTT、reverse proxyのサポート
n JS Fetch APIとSame Origin Policyについて注視
IETF97報告会 2016/12/16

まとめ
n oauth WG
n 攻撃ベクターと緩和策BCP⽂書に着⼿
n Token Bindingとの整合性を確認
n tokbind WG
n コア⽂書が⼗分な品質に → WGLC
n 0-RTT、reverse proxyでの活⽤について検討
IETF97報告会 2016/12/16

Any Questions? Feedbacks Welcome!
https://lepidum.co.jp/
mailto:maeda@lepidum.co.jp / twitter: @mad_p
IETF97報告会 2016/12/16

IETF97 Update oauth tokbind

Recommended

Recommended

More Related Content

What's hot

What's hot (16)

Similar to IETF97 Update oauth tokbind

Similar to IETF97 Update oauth tokbind (20)

More from Kaoru Maeda

More from Kaoru Maeda (16)

IETF97 Update oauth tokbind