OAuth с взаимной TLS-проверкой
Определение
OAuth с взаимной TLS-проверкой (mTLS) — профиль OAuth 2.0, в котором клиент подтверждает себя сертификатом TLS, а выданные токены привязываются к этому сертификату. Привязка не отменяет проверку получателя, срока и полномочий токена.
Также ищут: OAuth mutual TLS · OAuth mTLS · токен, привязанный к сертификату
Зачем это знать
Ресурсный сервер может потребовать тот же сертификат, с которым связан токен, и отвергнуть украденную строку без ключа.
Карта понятия
Что подтверждено
RFC 8705 определяет взаимную TLS-проверку клиента и токены доступа OAuth 2.0, привязанные к сертификату.
Граница применимости: Профиль OAuth 2.0 с взаимной TLS-проверкой.
Владение сертификатом подтверждает связанного клиента или отправителя, но ресурсный сервер всё равно проверяет получателя, срок и полномочия токена.
Граница применимости: Привязка к отправителю через mTLS и правила доступа API.
Что проверить
- Проверьте сертификат клиента.
- Сверьте привязку токена.
- Не пропускайте проверку полномочий и получателя.
Первоисточники
- OAuth 2.0 Mutual-TLS Client Authentication and Certificate-Bound Access Tokens
Определяет OAuth client authentication через mutual TLS и certificate-bound access/refresh tokens.
- JSON Web Token Profile for OAuth 2.0 Access Tokens
Профилирует JWT access token: at+jwt type, required iss/exp/aud и resource-server validation, отличая его от ID Token.
Утверждения: 02