Токен с подтверждением владения
Определение
Токен с подтверждением владения — токен доступа, для применения которого нужно доказать владение связанным закрытым ключом или сертификатом.
Также ищут: Proof-of-possession token · PoP token · токен, привязанный к отправителю
Зачем это знать
Одной копии токена недостаточно для повторного запроса без связанного ключа, хотя компрометация конечной точки или самого ключа всё равно опасна.
Карта понятия
Что подтверждено
Актуальные рекомендации OAuth советуют привязывать токены доступа к отправителю через взаимную TLS-проверку или DPoP, чтобы снизить ценность украденного токена.
Граница применимости: Токены доступа OAuth, привязанные к отправителю.
Токен на предъявителя может использовать любой владелец строки, а токен с подтверждением владения требует связанное криптографическое доказательство для каждого принятого запроса.
Граница применимости: Токен на предъявителя и токен, привязанный к отправителю.
Что проверить
- Выберите способ привязки.
- Проверьте владение ключом.
- Отдельно защитите конечную точку и ключ.
Первоисточники
- Best Current Practice for OAuth 2.0 Security
Актуализирует OAuth security: exact redirect matching, PKCE, sender-constrained tokens и безопасный refresh-token lifecycle.
Утверждения: 01
- The OAuth 2.0 Authorization Framework: Bearer Token Usage
Определяет bearer-token presentation, защиту от disclosure, Authorization header и ошибки invalid_token/insufficient_scope.
Утверждения: 02
- OAuth 2.0 Demonstrating Proof of Possession
Определяет application-layer proof-of-possession и sender-constrained tokens с защитой от replay.
Утверждения: 02
- Resource Indicators for OAuth 2.0
Вводит resource parameter для target API и audience-restricted access tokens: scope отвечает что, resource — где.