PKCEを標準にする
公開Client・機密Clientを問わずAuthorization Code FlowへPKCEを組み込み、認可コードの横取りに備えます。
Overview
この仕様は、
何を解決するのか。
新しくOAuth ClientやAuthorization Serverを実装し、現在推奨される認可フローを選びたい人向けです。OAuth 2.1は、OAuth 2.0公開後に蓄積されたセキュリティ上の知見を、実装者が迷いにくい形へ整理する取り組みです。OAuth 2.0をまったく別の仕組みに置き換えるのではなく、安全な選択肢を標準の使い方としてまとめます。
中心となるのはAuthorization Code FlowとPKCEです。認可コードを横取りされてもcode_verifierを持たない攻撃者はトークンへ交換できません。一方、トークンをブラウザへ直接返すImplicit Grantや、Clientがパスワードを預かるPassword Grantは除外されます。
Purpose and responsibilities
仕様が定める、大切なこと。
危険な選択肢を減らす
Implicit GrantとPassword Grantを外し、実装者が古い方式を誤って選びにくくします。
現在の実装慣行を統合する
完全一致redirect URI、Bearer Tokenの安全な扱い、refresh token保護など、現代の実装で必要な要件をまとめます。
Key concepts
01PKCE Required02Exact Redirect URI03No Implicit04No Password Grant05Refresh Rotation
Security considerations
安全に使うための確認事項。
仕様を実装するときは、正常系の通信だけでなく、値のすり替え、再利用、漏えいが起きた場合も考えます。
- 01
code_verifierは暗号学的乱数から生成し、S256 code_challengeを使用します。
- 02
stateまたは同等の仕組みでClientが開始した処理とコールバックを関連付けます。
- 03
redirect_uriは文字列の完全一致で検証し、ワイルドカードを使いません。
- 04
refresh tokenはrotationまたはsender-constrained tokenで再利用リスクを抑えます。
Interactive flows
この仕様に属するフロー
OAuth 2.1 · Interactive flowOAuth 2.1 Authorization Code + PKCE
Authorization Code FlowへPKCEを必須要件として組み込み、コード横取り攻撃を防ぐ現代的な認可フローです。
図を再生する →OAuth 2.1 · Interactive flowClient Credentials Flowユーザーを介さず、クライアント自身の権限でサービス間APIへアクセスするM2M向けフローです。
図を再生する →OAuth 2.1 · Interactive flowRefresh Token Flowアクセストークンの期限切れ後、ユーザーを再認証させずに新しいトークンを取得する継続セッションのフローです。
図を再生する →OAuth 2.1 · Interactive flowDevice Authorization GrantテレビやCLIなど入力制約のある端末を、別のブラウザを使って安全に認可するフローです。
図を再生する →Position and relationship
ほかの仕様との関係
OAuth 2.1はRFC 6749、PKCE、Bearer Tokenの利用方法、OAuth Security BCPなどを前提にしています。OpenID Connectはこの認可フローの上へ本人確認を追加する別仕様であり、OAuth 2.1だけではユーザーが誰かをClientへ伝えません。
Other specifications
OAuth 2.0 (RFC 6749)The OAuth 2.0 Authorization Framework→OAuth 2.0 Device Authorization (RFC 8628)OAuth 2.0 Device Authorization Grant→OpenID Connect Core 1.0OpenID Connect Core 1.0→FIDO2 WebAuthn Level 3Web Authentication: Public Key Credentials→FIDO2 CTAP 2.2Client to Authenticator Protocol→FIDO UAF 1.1Universal Authentication Framework→FIDO U2F 1.2Universal Second Factor→OpenID Connect CIBA Core 1.0Client-Initiated Backchannel Authentication→OAuth 2.0 PKCE (RFC 7636)Proof Key for Code Exchange by OAuth Public Clients→JSON Web Token (RFC 7519)JSON Web Token (JWT)→OAuth 2.0 DPoP (RFC 9449)OAuth 2.0 Demonstrating Proof of Possession→SAML 2.0Security Assertion Markup Language 2.0→SCIM 2.0 (RFC 7644)System for Cross-domain Identity Management: Protocol→