「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。
目次 †
概要 †
トークンには色々な意味があるが、
ここでは、セキュリティ対策や認証・認可などの処理のための、
認証チケット（証拠）などので使用するトークンについて説明する。
アサーションとトークン †
以下の様な標準仕様を見ると、
- SAML assertions defined in the SAML Token Profile standard.
- JSON Web Token (JWT) is a JSON-based open standard (RFC 7519) for creating access tokens that assert some number of claims.
それぞれ、以下のように定義されている。
- 「複数のクレーム（クレームセット）」を格納する「アサーション」を「トークン」
- 「アサーション」のフォーマットを「トークン・プロファイル」
従って、アサーション ≒ トークンらしい。
アサーションとは？ †
では、アサーションとは一体何者か？ということになるが、
- 「アサーション」とは、何らかの対象に関する属性や設定などの情報を列挙した、データ集合を指す場合が多い。
- 標準化された技術仕様において、適用場面の限られたオプション仕様などのことをプロファイルということがある。
らしい（技術的に標準化されたフォーマット的なモノ）。
トークンとは？ †
上記の文脈上からは、
ざっくり、アサーションを実際に使うとトークン。
解り易いのが、JWTアサーションをアクセストークンとして使用する例。
用語 †
クレーム †
- 対象となるエンティティ（“サブジェクト”）に関する事実の情報
- 認証で使用する場合、認証ユーザのIDや資格・権限情報、その他の属性情報などがクレームに該当する。
アサーション †
アサーション = 表明の意味。
複数のクレーム（クレームセット）から構成され、
認証、属性、権限の認可を表明するための情報を格納するデータ集合。
トークン †
概要に書いたとおり。
トークンの表現方法 †
トークンには、以下の様な表現方法がある。
トークンの種類 †
セキュリティ トークン †
当該アクセスに添付され認証・認可をするためのアサーション。
従って、以下が含まれた情報。
- 認証・認可に必要なクレームから構成されるクレームセット
- 認証オーソリティによって上記に署名を加えたコントラクト（契約）
デジタル署名 †
署名には、暗号化技術が使用され、改竄等が無いか検証可能になっている。
SSOソフトウェア †
- シームレスな認証や、password fillingを行なう場合がある。
- 同様に、暗号化技術が使用され、改竄等が無いか検証可能になっている。
ワンタイムパスワード †
- ログイン毎や、時間経過で変化するタイプ
- チャレンジ＆レスポンスなどもワンタイムパスワード
Authorizationヘッダ †
そう考えると、Digest認証、Basic認証の
Credentialもある種の認証トークンと言える。
- Authorizationヘッダ情報に設定される。
- ユーザIDとパスワードの情報を含んでいる。
- 以下を参照するとBearer TokenもOAuth に限らず、一般的な HTTP 認証トークンとして使用可能。
- OAuth2.0を認証に使用する際の問題点とその対応方法
- RFC 7235 で "Authorization: auth-scheme (token68 / auth-params)" が定義済みで、
"auth-scheme" には Basic, Digest に加え Bearerが登録済み（IANAにより管理）。
その他 †
CSRF対策用トークン †
CSRFを防止するための単なる乱数もトークンと呼んだりする。
その他 †
以下の様な、多様なトークンがある。
Tags: :セキュリティ, :認証基盤, :暗号化
![[PukiWiki]](image/pukiwiki.png "[PukiWiki]")
