25 views
# (OpenID Connect Core 1.0) 7. Self-Issued OpenID Provider ###### tags: `oauth2/oidc` 担当::@hijiki51: [toc maxlevel=5] OIDCでは Self-Issued OpenID Provider(以下SIOP)をサポートしている。 SIOPは、端末やブラウザ上で動作し、自己署名ID Tokenを発行する。これを用いて - 端末認証 - 改竄検出 を行うことができる。 SIOPは特別なIssuer Identifier: https://self-issued.me を用いる。 それ以外は通常のOPと同様に扱うことができる。 ## 7.1. Self-Issued OpenID Provider Discovery SIOPに対して dynamic discovery を行った場合、実際に処理は行わず、次の固定値を用いる。 ```json { "authorization_endpoint": "openid:", "issuer": "https://self-issued.me", "scopes_supported": ["openid", "profile", "email", "address", "phone"], "response_types_supported": ["id_token"], "subject_types_supported": ["pairwise"], "id_token_signing_alg_values_supported": ["RS256"], "request_object_signing_alg_values_supported": ["none", "RS256"] } ``` :::info OIDFが https://self-issued.me/.well-known/openid-configuration を提供しているのでこちらを用いてもよい ::: ## 7.2. Self-Issued OpenID Provider Registration SIOPを用いる際は、Client の登録は必要ない。Client は登録しなくても OP に登録してあるかのように、以下の Client Registration Response を得る。 - `client_id` - clientの`redirect_uri` - `client_secret_expires_at` - 0 :::info OIDF が https://self-issued.me/registration/1.0/ を提供しており、ここは上記の要件を満たすレスポンスを返すので用いてもよい ::: ### 7.2.1. Providing Information with the "registration" Request Parameter Client が SIOP に追加の登録情報を渡すために以下の Authorization Request Parameter が定義されている - `registration` - **OPTIONAL** - [OpenID Connect Dynamic Client Registration 1.0 incorporating errata set 1](https://openid.net/specs/openid-connect-registration-1_0.html)に定義されているJSONオブジェクトである。 - ただし、ここにREQUIREDと書かれているものでも、SIOPにとってはそうでなく、**すべてOPTIONAL**である ## 7.3. Self-Issued OpenID Provider Request Client は以下の形式に従って、 Authentication Request を送信する 説明は各章と同じなので省略する - `scope` - **REQUIRED** - `response_type` - **REQUIRED** - `id_token` 固定 - `client_id` - **REQUIRED** - `id_token_hint` - **OPTIONAL** - `claims` - **OPTIONAL** - `registration` - **OPTIONAL** - `request` - **OPTIONAL** - Client は暗号化したRequest Objectを送信することもできる(**MAY**) - その場合、そのClient に対してすでに発行済みのID Token の `sub`をJWE の `kid`として指定しなければならない(**MUST**) - 現状、SIOP に対して暗号化したコンテンツを送れるのは `alg=RSA1_5`の時のみである。 ほかのパラメータも用いてよい(**MAY**) 全体URL長は ASCII で 2048文字を超えてはならない(**MUST NOT**) ## 7.4. Self-Issued OpenID Provider Response OIDC では SIOP Response で用いるために以下のClaim を定義する - `sub_jwk` - **REQUIRED** - SIOPから発行されたID Tokenの署名検証に使われる公開鍵 - **JWK** - X.509ではないので注意 - SIOPでない場合は使うのを推奨しない(**NOT RECOMENDDED**) SIOP のレスポンスは通常の Implicit Flow のレスポンスに以下の改変をしたものと同じである。 - `iss`が https://self-issued.me である - `sub_jwk` Claimが存在し、 ID Token の署名検証のための公開鍵となっている - `sub`の値は`sub_jwk`に含まれる鍵の thumbprint を b64 encode したものとなっている。 - thumbprintは以下の手順で求まる 1. JWKのメンバーのうち、REQUIREDなもののみをメンバー名の辞書順にソート 2. 空白・改行を除き、UTF-8のオクテットで表現 3. SHA-256を計算 - これは、[JSON Web Key (JWK) Thumbprint](https://datatracker.ietf.org/doc/html/draft-jones-jose-jwk-thumbprint)に定義されている - UserInfo EndpointへのAccess Tokenは返却されないため、すべてのClaimはID Token の中で返却されなければならない(**MUST**) ## 7.5. Self-Issued ID Token Validation Client は ID Token の検証を以下の手順で行う必要がある(**MUST**) 1. `iss`の値が、https://self-issued.me であることを確認する(**MUST**) - そうでない場合、SIOPではない 2. Authentication Request で送信した`redirect_uri`が`aud`に含まれていることを確認する(**MUS**) 3. JOSE Header の `alg` パラメータを用いて、JWS の署名検証を行う(**MUST**) - 鍵は`sub_jwk` の中の鍵を用いる。 4. `alg` はデフォルトとしては`RS256`であるべきである(**SHOULD**) `ES256`でもよい(**MAY**) 5. `sub`が`sub_jwk`のthumbprintのb64 encodeであることを確認する(**MUST**) 6. 現在時刻が`exp`よりも前であることを確認する(**MUST**) 7. `iat`があまりにも昔である場合は、拒否してよい 8. nonce が Authentication Request で送られた場合、`nonce` Claimが存在し、それがAuthentication Request で送られたものと同じであることを検証する(**MUST**) Client は Replay Attack を防止するため`nonce`の値を検証するべきである(**SHOULD**) ## おまけ より実用的な仕様としてSIOPv2 というのがある これは Verified Presentation(VP) などを利用して、エンドユーザー自身がIDを発行できるようになる、すなわちDecentralized Identifier(DID)の文脈に近くなるものである。 注:僕も全部読めてるわけではないです(読もうと思ったけどVC, VP, DID, SSI...... と依存多すぎて間に合わない) - [Self-Issued OpenID Provider v2 - draft 13](https://openid.net/specs/openid-connect-self-issued-v2-1_0.html) - [OpenID Connect Client-Initiated Backchannel Authentication Flow - Core 1.0](https://openid.net/specs/openid-client-initiated-backchannel-authentication-core-1_0.html) - [Verifiable Credentials Data Model v1.1](https://www.w3.org/TR/2022/REC-vc-data-model-20220303/#sotd) - [OpenID for Verifiable Presentations - draft 20](https://openid.net/specs/openid-4-verifiable-presentations-1_0.html)