OAuth2.0 DPoP のバックアップ(No.4) - マイクロソフト系技術情報 Wiki

POST /token HTTP/1.1
Host: server.example.com
Content-Type: application/x-www-form-urlencoded
DPoP: eyJ0eXAiOiJkcG9wK2p3dCIsImFsZyI6IkVTMjU2IiwiandrIjp7ImNydiI6IlAtMjU2Iiwia3R5IjoiRUMiLCJ4IjoiLi4uIiwieSI6Ii4uLiJ9fQ.eyJodG0iOiJQT1NUIiwiaHR1IjoiaHR0cHM6Ly9zZXJ2ZXIuZXhhbXBsZS5jb20vdG9rZW4iLCJpYXQiOjE2MjM0MjA4MDAsImp0aSI6InVuaXF1ZS1pZCJ9.signature

grant_type=authorization_code&code=xxxxx&...

↑

DPoP Proof JWT の構造： †

json// Header
{
  "typ": "dpop+jwt",
  "alg": "ES256",
  "jwk": {
    "kty": "EC",
    "crv": "P-256",
    "x": "...",
    "y": "..."
  }
}
// Payload
{
  "htm": "POST",                             // HTTPメソッド
  "htu": "https://server.example.com/token", // エンドポイントURL
  "iat": 1623420800,                         // 発行時刻（リプレイ攻撃対策）
  "jti": "unique-id"                         // 一意なID（リプレイ攻撃対策）
}
// Signature (秘密鍵で署名)

↑

Authorization Server がトークンを発行 †

DPoP Proof JWTの署名を検証
- htm・htu の一致確認で当該処理を目的としているか確認。
- jti・iat を用いてリプレイ攻撃チェックを行う。

Accessトークンの発行

公開鍵のハッシュ（cnf.jkt）をAccessトークンに埋め込む

json

// アクセストークン（JWT）のペイロードに含まれる
{
  "sub": "user123",
  "cnf": {
    "jkt": "0ZcO...（公開鍵のSHA-256ハッシュ）"
  }
}

↑

Resource Serverへのリクエスト †

毎回新しい DPoP Proof JWT を生成

GET /resource HTTP/1.1
Authorization: DPoP eyJhbGciOi...   ← Bearer ではなく DPoP スキーム
DPoP: eyJ0eXAiOiJkcG9wK2p3dCIs...  ← Proof JWT

↑

Resource Serverが検証 †

Accessトークンの cnf.jkt（公開鍵ハッシュ）を取得

DPoP Proof の署名を検証
- htm・htu の一致確認で当該処理を目的としているか確認。
- jti・iat を用いてリプレイ攻撃チェックを行う。
- DPoP Proof JWT の jwk ハッシュと cnf.jkt との一致確認（トークンと鍵の紐づけ確認）

↑

参考 †

SPAなClientがトークンを安全に扱えるかもしれない拡張仕様「OAuth2.0 DPoP」とは - r-weblife
https://ritou.hatenablog.com/entry/2019/04/19/070000

draft-fett-oauth-dpop-01 - OAuth 2.0 Demonstration of Proof-of-Possession at the Application Layer
https://tools.ietf.org/html/draft-fett-oauth-dpop

Tags: :IT国際標準, :認証基盤, :クレームベース認証, :OAuth