Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.
https://lepidum.co.jp/ Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.
IETF97	Seoul
OAUTH関連レポート
株式会社レピダム
前田 薫 ...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Agenda
n WG
n oauth
n tokbind
n IETF97
n...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
⾃⼰紹介
n 名前
n 前⽥ 薫 @mad_p
n 所属
n 株式会社レピダム
...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/ IETF97報告会 2016/12/16
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
oauth WG	Overview
n ⽉曜⽇と⽔曜⽇の2コマ開催
n Minu...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
oauth WG	Documents	Update
n draft-ietf-o...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
oauth WG	Presentations	(1/2)
n Hannes	Ts...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
oauth WG	Presentations	(2/2)
n Brain Cam...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Device	Flow	(1/2)
IETF97報告会 2016/12/16
h...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Device	Flow	(2/2)
n 3	open	issues
n poll...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Token	Binding	for	OAuth	(1/2)
n tokbind側...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Token	Binding	for	OAuth	(2/2)
n Access	T...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
oauth WGまとめ
n OAuth2プロトコル成⽴後、周辺の拡張、プ
ロファ...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/ IETF97報告会 2016/12/16
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
tokbind WG	Overview
n ⽉曜⽇開催
n Minutes	dr...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Token	Binding	の概要
n 参考:	http://www.slide...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
tokbind WG	Presentations
n Andrei	Popov:...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
core⽂書関連の議論
n renegotiationによってEKMが変わる
n...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
0-RTTとtoken	binding	EKMの問題
n RFC	5705	ex...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
reverse proxy
n TLS	terminatorからアプリサーバーへ...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
tokbind WG	まとめ
n Token	Bindingのコア⽂書はWGLC...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/ IETF97報告会 2016/12/16
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
まとめ
n oauth WG
n 攻撃ベクターと緩和策BCP⽂書に着⼿
n To...
Copyright	© 2004-2016	Lepidum	Co.	Ltd.	All	rights	reserved.https://lepidum.co.jp/
Any	Questions?	Feedbacks	Welcome!
https:...
Upcoming SlideShare
Loading in …5
×

IETF97 Update oauth tokbind

562 views

Published on

2016/12/16 ISOC-JP主催のIETF報告会97で発表した資料です

Published in: Internet
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m77EgH } ......................................................................................................................... Download Full EPUB Ebook here { http://bit.ly/2m77EgH } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { http://bit.ly/2m77EgH } ......................................................................................................................... Download EPUB Ebook here { http://bit.ly/2m77EgH } ......................................................................................................................... Download doc Ebook here { http://bit.ly/2m77EgH } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download Full EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download doc Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download Full EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download doc Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download Full EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download EPUB Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... Download doc Ebook here { https://tinyurl.com/yyxo9sk7 } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here
  • DOWNLOAD THIS BOOKS INTO AVAILABLE FORMAT (Unlimited) ......................................................................................................................... ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/y6a5rkg5 } ......................................................................................................................... Download Full EPUB Ebook here { https://tinyurl.com/y6a5rkg5 } ......................................................................................................................... ACCESS WEBSITE for All Ebooks ......................................................................................................................... Download Full PDF EBOOK here { https://tinyurl.com/y6a5rkg5 } ......................................................................................................................... Download EPUB Ebook here { https://tinyurl.com/y6a5rkg5 } ......................................................................................................................... Download doc Ebook here { https://tinyurl.com/y6a5rkg5 } ......................................................................................................................... ......................................................................................................................... ......................................................................................................................... .............. Browse by Genre Available eBooks ......................................................................................................................... Art, Biography, Business, Chick Lit, Children's, Christian, Classics, Comics, Contemporary, Cookbooks, Crime, Ebooks, Fantasy, Fiction, Graphic Novels, Historical Fiction, History, Horror, Humor And Comedy, Manga, Memoir, Music, Mystery, Non Fiction, Paranormal, Philosophy, Poetry, Psychology, Religion, Romance, Science, Science Fiction, Self Help, Suspense, Spirituality, Sports, Thriller, Travel, Young Adult,
       Reply 
    Are you sure you want to  Yes  No
    Your message goes here

IETF97 Update oauth tokbind

  1. 1. https://lepidum.co.jp/ Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved. IETF97 Seoul OAUTH関連レポート 株式会社レピダム 前田 薫 (@mad_p) IETF97報告会 2016/12/16 IETF97報告会 2016/12/16
  2. 2. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Agenda n WG n oauth n tokbind n IETF97 n Seoul, KR n Nov 13-18, 2016 IETF97報告会 2016/12/16
  3. 3. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ ⾃⼰紹介 n 名前 n 前⽥ 薫 @mad_p n 所属 n 株式会社レピダム シニアプログラマ n コミュニティー活動 n ISOC-JP PC n Lightweight Language n Identity Conference n http2study n 業務領域 n 認証・認可、デジタル アイデンティティー、 プライバシー n 標準化⽀援 n ソフトウェアセキュリ ティー、脆弱性 n IETFとの関わり n IETF89 Londonより n ART, SECエリア中⼼ IETF97報告会 2016/12/16
  4. 4. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ IETF97報告会 2016/12/16
  5. 5. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ oauth WG Overview n ⽉曜⽇と⽔曜⽇の2コマ開催 n Minutes draft n https://www.ietf.org/proceedings/97/minutes/min utes-97-oauth-00.txt n Device Flow: ログイン⼿段のないデバイスは スマホで認証 n OAuth2向けToken Bindingの話がまだ続く n セキュリティー等に関するBCPを作成する IETF97報告会 2016/12/16
  6. 6. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ oauth WG Documents Update n draft-ietf-oauth-amr-values-03 → IESG Authentication Method Reference Values n 認可に際し、使⽤した認証⼿段(パスワード、指紋など)を表現する ための語彙 n draft-ietf-oauth-jwsreq-09 → IESG The OAuth 2.0 Authorization Framework: JWT Secured Authorization Request (JAR) n 認可リクエストをJWTにパッケージし、署名(JWS)または暗号化 (JWE)を可能とする n draft-ietf-oauth-native-apps-05 OAuth 2.0 for Native Apps n スマホなどのネイティブアプリでのOAuth/OpenID Connectフローに おけるベストプラクティス n いくつかの最終調整を経てIESGへ IETF97報告会 2016/12/16
  7. 7. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ oauth WG Presentations (1/2) n Hannes Tschofenig: Device Flow n TVなど⼊⼒装置がないが表⽰装置はあるデバイス。スマホや PCから表⽰されたコードを⼊⼒して認可を⾏う n Mike Johns: Authorization Server Metadata n IdP Mix-up Attackに対する緩和策として、エンドポイント情 報をサーバーメタデータとして提供する形式を定める n → 認可サーバーのメタデータを独⽴した⽂書としてpublish n → リソースサーバーについては説明不⾜ n Brian Campbell: OAuth 2.0 Token Binding n tokbind WGからoauth WGへ持ってきた。OAuth 2.0でのToken Bindingの活⽤⽅法 IETF97報告会 2016/12/16
  8. 8. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ oauth WG Presentations (2/2) n Brain Campbel: OAuth Token Exchange n すでに得ている認可トークンを利⽤して権限委譲や偽装を⾏うトークンを 得る n → WGLC前にもっと実装経験が必要 n Torsten Lodderstedt: OAuth Security n OAuth2のセキュリティー上の問題やanti patternsなどをまとめる n 前回BerlinでBCPの必要性が⽰された n → セキュリティーに限定せずBCPとしてWGアイテムに n Justin Richer: HTTP Signing n リソースサーバーへのリクエストをJWTにパッケージして署名/暗号化する n → MLで議論。実装者がいるのかどうか n John Bradley: Resource Indicator n access_tokenを使⽤するリソースサーバーをクライアントから認可サー バーに伝えるためのパラメータ IETF97報告会 2016/12/16
  9. 9. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Device Flow (1/2) IETF97報告会 2016/12/16 https://www.ietf.org/proceedings/96/slides/slides-96-oauth-2.pdf
  10. 10. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Device Flow (2/2) n 3 open issues n polling n AS→device向きにポーリングするのださいよね n そのままがシンプルでよい n HTTP/2ベースのlong-pollingならリソース⾷わない n OpenID MODRNA WGではpull/pushを検討中 n UI関連 n code と verification URIをユーザーがデバイスで⼊⼒しなければなら ない n ガイダンスが必要か? n 他の⼿段 n 例: ユーザーが電話番号を⼊⼒、SMSでcodeを送る n このような他の⼿段もdocumentすべきか n 結論: experienceがあれば⼊れる、なければ⼊れない IETF97報告会 2016/12/16
  11. 11. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Token Binding for OAuth (1/2) n tokbind側の⽂書を修正 n referred TBID trigger n application specificに決めてよい n key scoping rules n TBIDは特にnative appで、何をしているかわかるとき にはIdPとRPとで同⼀にしてもよい n JWT、id_tokenでのtoken bindingの表現 n cnfクレーム(RFC7800)にtbhとしてTBIDのハッ シュを⼊れる IETF97報告会 2016/12/16
  12. 12. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Token Binding for OAuth (2/2) n Access Token n トリガ問題(前回) → アプリが知っているでOK n ATをtoken bindした場合、resource serverが検証できるために はRS向けのTBIDにbindする必要がある n TBIDはeTLD+1をスコープとするべき(SHOULD) n → 複数ドメインにまたがるリソースで同⼀のATを使えない n Authorization code n codeを提⽰する接続にbindする n native client: native client →★→ token endpoint n app server client: browser →★→ redirect_uri → token endpoint n pkce_challengeの仕組みを使って運ぶ案が⽰された n 対downgrade attack n token bindingを使うかどうかをメタデータに⼊れる IETF97報告会 2016/12/16
  13. 13. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ oauth WGまとめ n OAuth2プロトコル成⽴後、周辺の拡張、プ ロファイルなどの策定が進む n Token Bindingについて議論が進んだ n OAuth2に対する攻撃と緩和策をBCPとして まとめる作業に着⼿ n セキュリティーに限定しない IETF97報告会 2016/12/16
  14. 14. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ IETF97報告会 2016/12/16
  15. 15. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ tokbind WG Overview n ⽉曜⽇開催 n Minutes draft https://www.ietf.org/proceedings/97/minutes/ minutes-97-tokbind-01.txt n Token Bindingのコアドキュメントは順調 n WGLC 〜11/30 n 0-RTTやreverse proxyでの扱いについて検討 n Chromeを使ったデモ IETF97報告会 2016/12/16
  16. 16. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Token Binding の概要 n 参考: http://www.slideshare.net/KaoruMaeda/tokbindfido IETF97報告会 2016/12/16 TLS接続 Exported Key Material (EKM) EKM EKMを秘密鍵で署名、 TokenBindingID(公開鍵)と セットにして送る もらった公開鍵と EKMで署名検証 • いま話してる相手が • この公開鍵に対応した 秘密鍵を持っている • トークンとTBIDを関連 づける TokenBinding サーバーごとに 鍵ペアを⽣成
  17. 17. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ tokbind WG Presentations n Andrei Popov: Changes in the Core Token Binding I-Ds Since IETF 96 n コア⽂書3件の残ったissueなど。renegotiation、0-RTT、OAuth 関連の議論 n コア⽂書はWGLCに突⼊し、残issueはWGLCコメントと扱う n Nick Harper: Token Binding for 0-RTT TLS 1.3 Connections n → WGアイテム n TLS 1.3で導⼊される0-RTTでtoken bindingを使う場合の exported key material (EKM)について n Brian Campbell: HTTPS Token Binding & TLS Termination n → WGアイテム n reverse proxyでTLSを終端する場合、どのようにtoken binding 情報をアプリサーバーに渡すか IETF97報告会 2016/12/16
  18. 18. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ core⽂書関連の議論 n renegotiationによってEKMが変わる n 変更前/変更後どちらのEKMを使うか? n → アプリがEKMを取得してTB messageを作ってから、送信する までの間にリネゴが⾛る可能性は常にある n → そのような場合はリトライ n Profileで規定されない限りrenegotiation禁⽌ n OAuthにやさしいTB修正案 n oauthの項(前述)で⽰した修正案でOK n JavaScriptからのFetchでreferred TBIDを指定したい n JSのオリジン以外のTBIDを送信指⽰できるべきでない n → おっとそれだといろいろ困るんだけど! n →CORS Access-Control-Allow-Referred-Token-Binding? n → まぬけなRSがあって同⼀のeTLD+1の送出許可を出すおそれ IETF97報告会 2016/12/16
  19. 19. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ 0-RTTとtoken binding EKMの問題 n RFC 5705 exporterはTLS handshakeが終わらない と使えない → 0-RTTでは使えない n 現ドラフトの案: early exporterを定義 n 0-RTT acceptされたらearly exporterをずっと使う n rejectされたらRFC5705を使う n replay protection n 新しいTLS extensionでnonceを送り、サーバーから 返す案 n TB専⽤でなく、より⼀般的な解があるはず。もっ と考えよう IETF97報告会 2016/12/16
  20. 20. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ reverse proxy n TLS terminatorからアプリサーバーへ「何か」 情報を渡さないとTBは使えない n 「何か」を標準化しないと実装がたくさんできて 困りそう n 2つのアプローチ n TLS terminatorでTBをvalidateして、TB系ヘッダーと してバックエンドサーバーへ検証済と送る n LBでアプリレイヤの検証をするのか? n TLS terminatorからexportしてTBメッセージをヘッ ダーで渡し、アプリサーバーが検証する n 検証失敗時のアプリサーバーからの切断指⽰が難しい。 HTTP status code? IETF97報告会 2016/12/16
  21. 21. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ tokbind WG まとめ n Token Bindingのコア⽂書はWGLCに n 残ったissueはコーナーケースだが重要 n OAuthとの親和性向上 n 実⽤化に向けての検討も進む n 0-RTT、reverse proxyのサポート n JS Fetch APIとSame Origin Policyについて注視 IETF97報告会 2016/12/16
  22. 22. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ IETF97報告会 2016/12/16
  23. 23. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ まとめ n oauth WG n 攻撃ベクターと緩和策BCP⽂書に着⼿ n Token Bindingとの整合性を確認 n tokbind WG n コア⽂書が⼗分な品質に → WGLC n 0-RTT、reverse proxyでの活⽤について検討 IETF97報告会 2016/12/16
  24. 24. Copyright © 2004-2016 Lepidum Co. Ltd. All rights reserved.https://lepidum.co.jp/ Any Questions? Feedbacks Welcome! https://lepidum.co.jp/ mailto:maeda@lepidum.co.jp / twitter: @mad_p IETF97報告会 2016/12/16

×