DPoP
Определение
DPoP — механизм OAuth, при котором клиент подписывает отдельное подтверждение для HTTP-запроса и связывает токен доступа со своим ключом.
Также ищут: Demonstrating Proof of Possession · OAuth DPoP · подтверждение владения на уровне приложения
Зачем это знать
Ресурсный сервер проверяет не только токен, но и свежее подтверждение для метода, URI и ключа, что усложняет повторное использование украденного токена.
Карта понятия
Что подтверждено
DPoP привязывает токен OAuth к отправителю с помощью подтверждения, которое клиент подписывает закрытым ключом для конкретного HTTP-запроса.
Граница применимости: Механизм DPoP по RFC 9449.
Подтверждение DPoP содержит контекст запроса и уникальный идентификатор, позволяя ресурсному серверу проверять свежесть и обнаруживать повтор.
Граница применимости: Проверка DPoP и обнаружение повторных запросов.
Что проверить
- Проверьте подпись и привязку ключа.
- Сверьте метод и URI.
- Отклоняйте устаревшие и повторные подтверждения.
Первоисточники
- OAuth 2.0 Demonstrating Proof of Possession
Определяет application-layer proof-of-possession и sender-constrained tokens с защитой от replay.
- OAuth 2.0 Mutual-TLS Client Authentication and Certificate-Bound Access Tokens
Определяет OAuth client authentication через mutual TLS и certificate-bound access/refresh tokens.