Open棟梁Project - マイクロソフト系技術情報 Wiki
目次 †
概要 †
トークンには色々な意味があるが、
ここでは、セキュリティ対策や認証・認可などの処理のための、
認証チケット（証拠）などので使用するトークンについて説明する。
- SAML assertions defined in the SAML Token Profile standard.
- JSON Web Token (JWT) is a JSON-based open standard (RFC 7519) for creating access tokens that assert some number of claims.
などの文を見ると、
- 「複数のクレーム（クレームセット）」を格納する「アサーション」を「トークン」
- 「アサーション」のフォーマットを「トークン・プロファイル」
などと呼ぶこともあるもよう。
- 「アサーション」とは、何らかの対象に関する属性や設定などの情報を列挙した、データ集合を指す場合が多い。
- 標準化された技術仕様において、適用場面の限られたオプション仕様などのことをプロファイルということがある。
らしいので、この文脈上からは、
と言う関連があるものと思われる。
用語 †
クレーム †
- 対象となるエンティティ（“サブジェクト”）に関する事実の情報
- 認証で使用する場合、認証ユーザのIDや資格・権限情報、その他の属性情報などがクレームに該当する。
アサーション †
アサーション = 表明の意味。
複数のクレーム（クレームセット）から構成され、
認証、属性、権限の認可を表明するための情報を格納するデータ集合。
トークン †
概要に書いたとおり。
トークンの表現方法 †
トークンには、以下の様な表現方法がある。
トークンの種類 †
セキュリティ トークン †
当該アクセスに添付され認証・認可をするためのアサーション。
従って、以下が含まれた情報。
- 認証・認可に必要なクレームから構成されるクレームセット
- 認証オーソリティによって上記に署名を加えたコントラクト（契約）
デジタル署名 †
署名には、暗号化技術が使用され、改竄等が無いか検証可能になっている。
SSOソフトウェア †
- シームレスな認証や、password fillingを行なう場合がある。
- 同様に、暗号化技術が使用され、改竄等が無いか検証可能になっている。
ワンタイムパスワード †
- ログイン毎や、時間経過で変化するタイプ
- チャレンジ＆レスポンスなどもワンタイムパスワード
- そう考えると、Digest認証、Basic認証のCredentialもある種のトークンと言える。
- Authorizationヘッダ情報に設定される。
- ユーザIDとパスワードの情報を含んでいる。
その他 †
CSRF対策用トークン †
CSRFを防止するための単なる乱数もトークンと呼んだりする。
その他 †
以下の様な、多様なトークンがある。
Tags: :セキュリティ, :認証基盤, :暗号化
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
