DPoP (Demonstrating Proof-of-Possession)

DPoP sitoo käyttöoikeustunnisteen kryptografisesti tietyn asiakkaan yksityiseen avaimeen. Sitä voi ajatella digitaalisena allekirjoituksena, jonka vain oikeutettu asiakas voi tuottaa.

Perusajatus on seuraava:

• Asiakas luo yksilöllisen avainparin.
• Julkinen avain yhdistetään käyttöoikeustunnisteeseen.
• Asiakas osoittaa yksityisen avaimen hallussapidon jokaisen pyynnön yhteydessä.

Prosessi alkaa siitä, että asiakassovellus luo asymmetrisen salausavainparin. Se tarkoittaa, että sovellus luo sekä yksityisen avaimen että julkisen avaimen.

• Yksityinen avain pidetään asiakkaan hallussa salaisena.
• Julkisen avaimen voi jakaa vaarantamatta tietoturvaa.

Tämä avainpari on yksilöllinen asiakkaan istunnolle tai instanssille.

Kun asiakas pyytää käyttöoikeustunnistetta Authorization Serverilta, se sisällyttää pyyntöön erityisen DPoP-nimisen otsakkeen.

Tämä DPoP-otsake sisältää asiakkaan yksityisellä avaimella allekirjoitetun JSON Web Tokenin (JWT). JWT sisältää tiivisteen asiakkaan julkisesta avaimesta.

DPoP-otsakkeen JWT on hallussapidon osoitus. Se sisältää useita väitteitä:

• jkt: asiakkaan julkisen avaimen JSON Web Key Thumbprint.
• htm: pyynnön HTTP-metodi, kuten GET tai POST.
• htu: pyynnön HTTP-URL-osoite.
• iat: myöntämisaika, joka estää toistohyökkäykset.

Authorization Server validoi tämän JWT:n ja sitoo jkt-arvon myönnettyyn käyttöoikeustunnisteeseen.

Kun asiakas vastaanottaa DPoP-sidotun käyttöoikeustunnisteen, se käyttää sitä suojattujen resurssien käyttöön Resource Serverilla.

Jokaisen Resource Serverille lähetettävän pyynnön yhteydessä asiakkaan on lähetettävä uusi DPoP-otsake, joka sisältää yksityisellä avaimella allekirjoitetun tuoreen JWT:n. Sen htm- ja htu-arvojen on vastattava nykyistä pyyntöä.

Resource Server suorittaa seuraavat keskeiset tarkistukset:

1. Se tarkistaa DPoP JWT:n allekirjoituksen käyttämällä sen jkt-väitteestä johdettua julkista avainta.
2. Se varmistaa, että DPoP JWT:n jkt vastaa itse käyttöoikeustunnisteeseen tallennettua jkt-arvoa.
3. Se tarkistaa, että DPoP JWT:n htm- ja htu-väitteet vastaavat todellista HTTP-pyyntöä.

Jos jokin tarkistus epäonnistuu, käyttö estetään. Näin varmistetaan, että vain yksityisen avaimen hallussa pitävä asiakas voi käyttää tunnistetta.

Saatat pohtia molemminpuolista TLS:ää (mTLS). Sekä DPoP että mTLS sitovat tunnisteet asiakkaaseen, mutta ne toimivat eri kerroksilla:

• mTLS: sitoo tunnisteen TLS:n (siirtokerroksen) tasolla asiakasvarmenteiden avulla.
• DPoP: sitoo tunnisteen sovelluskerroksella HTTP-otsakkeissa olevien kryptografisten todisteiden avulla.

DPoP on usein joustavampi ja helpompi toteuttaa useille asiakastyypeille, erityisesti julkisille asiakkaille, kuten mobiilisovelluksille, kuin mTLS.

Onnittelut! Olet oppinut tuntemaan DPoP:n, tehokkaan tietoturvamekanismin.

DPoP parantaa OAuth2:ta ja OIDC:tä sitomalla käyttöoikeustunnisteet kryptografisesti asiakkaan yksityiseen avaimeen. Näin tunnisteiden luvaton haltuunotto estyy tehokkaasti ja varastetut tunnisteet muuttuvat hyökkääjille käyttökelvottomiksi.

Tämä hallussapidon osoitus vahvistaa sovellustesi tietoturvaa merkittävästi varmistamalla, että vain oikeutettu asiakas voi käyttää käyttöoikeustunnisteitaan.