タイトル： 『IETF94 M2M Authentication関連報告』 概要： IETF94@横浜のM2M認証に関連した仕様の策定状況をご報告します。 IETF報告会 (94th 横浜) / IETF94 Update Meeting Dec. 8 2015 URL：https://www.isoc.jp/wiki.cgi?page=IETF94Update

1. IETF94
M2M Authentication関連報告
2015.12.8
ヤフー株式会社 ID連携⿊黒帯 倉林林 雅

2. 倉林林 雅（kura）
ヤフー株式会社 ID連携⿊黒帯 / エンジニア
OpenID ファウンデーション・ジャパン
エヴァンジェリスト
ISOC-‐‑‒JP プログラム委員
ID厨
@kura_̲lab

3. アジェンダ
SEC area
1. ace WG
2. cose WG
3. tokbind WG
4. oauth WG
ART area
1. core WG

4. ace WG (SEC)
Actors in the ACE Architecture
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒ace-‐‑‒2.pdf
タスクとは別のドラフトとして提出
Single-Domain with Single AS Cross-Domain with single AS

5. ace WG (SEC)
ACE Solutions
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒ace-‐‑‒6.pdf
draft-‐‑‒cuellar-‐‑‒ace-‐‑‒solutions-‐‑‒00は概要レベルで議論論するに
はまだリビジョンを重ねる必要あり
PAT Tokens(Privacy-‐‑‒Enhanced-‐‑‒Authorization-‐‑‒Tokens)
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒ace-‐‑‒5.pdf
エネルギー制限・メッセージサイズに重きをおいた認可のた
めのトークン形式

6. ace WG (SEC)
Delegated Authenticated Authorization
Framework (DCAF)
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒ace-‐‑‒3.pdf
リソースに制限のあるノード間でDTLSを利利⽤用
制限のある環境でのクライアントの認証・認可を
委任するためのプロトコル

8. ace WG (SEC)
Authorization using OAuth 2.0
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒ace-‐‑‒1.pdf
ACRE(ace-‐‑‒core-‐‑‒authz)とOAuth(ace-‐‑‒oauth-‐‑‒
iot/introspection)を統合したdraft

10. DCAF vs OAuth

12. ace WG (SEC)
1. draftを読みましたか？
OAuth -‐‑‒ 20% / DCAF -‐‑‒ 数名
2. それぞれのソリューションを実装したひと？
OAuth -‐‑‒ 3名 / DCAF -‐‑‒ 1名

13. ace WG (SEC)
3. ソリューションは1つそれとも2つ必要ですか？
1つでよい-‐‑‒ 12名以上 / 2つほしい -‐‑‒ 2名 /
もっと情報がほしい 10名
4. どちらをスタートポイントにすべきですか?
DCAF -‐‑‒ 0名 / OAuth -‐‑‒ 部屋の1/2以上

14. ace WG (SEC)
Using DCAF With CBOR Encoded Message Syntax
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒ace-‐‑‒4.pdf

15. cose WG (SEC)
Object Security of COAP
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒cose-‐‑‒1.pdf
COSE（HMAC-‐‑‒SHA256/ECDSA with 64 bytes signature）
を利利⽤用してメッセージオーバーヘッドを⽐比較
COSE Message Issues
https://www.ietf.org/proceedings/94/slides/slides-‐‑‒94-‐‑‒cose-‐‑‒2.pdf
COSEでRSA 1.5をサポートすべきかどうか、MIME Typeなど
issues：https://github.com/cose-‐‑‒wg/cose-‐‑‒issues/issues

16. tokbind WG (SEC)
Token Binding for HTTPS
draft-‐‑‒ietf-‐‑‒tokbind-‐‑‒https-‐‑‒02
tls_̲unique → Exported Key Material (EKM)
Sensitivity of the Token-‐‑‒Binding Headerと
Securing Federated Sign-‐‑‒On Protocolsが追記
LCの準備？

17. tokbind WG (SEC)
Token Binding Protocol & TLS Extension
draft-‐‑‒ietf-‐‑‒tokbind-‐‑‒protocol-‐‑‒03
draft-‐‑‒ietf-‐‑‒tokbind-‐‑‒negotiation-‐‑‒01
tls_̲uniqueからExported Key Material (EKM)に
変更更されでハッシュする必要がなくなった
rsa2048_̲pkcs1.5_̲sha256
→ rsa2048_̲pkcs1.5

18. oauth WG (SEC)
Status Update
PoP ArchitectureとPoP Key SemanticsがIESTに送られ最終レビューへ
OAuth 2.0 JWT Authorization Request
ブラウザー経由時のパラメーター改ざん防⽌止のためのシリアライゼーション
Request Object URIはリクエストパラメーターのサイズを減らせ、キャッ
シュも可能
リプレイアタック防⽌止についての追記が依頼された
PoP Key DistributionのToken Endpointで”aud”パラメーターが定義され
ていてコンフリクトしていたが現在は解消している

19. oauth WG (SEC)
Proof-‐‑‒of-‐‑‒Possession Key Distribution
Refresh Tokenの交換時には以下で対応すること
を推奨
Confidential client：
ID/Client SecretはPoP機能として⼗十分である
Public client：
PKCE(Proof Key for Code Exchange)を利利⽤用

20. oauth WG (SEC)
HTTP Signing
HTTPリクエストのための分離離されたSignature。PoP
tokenとして使⽤用される
ヘッダー・クエリ情報をJSONに格納して署名し
（JWS）、Authorizationヘッダーに乗せる
Token Exchange
近々IETF93@プラハでの議論論を反映予定

21. oauth WG (SEC)
Rechartering
OAuth 2.0 for Native Apps
ネイティブアプリ上でOpenID Foundationで使われているSSOの仕組み
を再利利⽤用する
16 for doing the work / 0 against / 2 need more info
Security Extensions & Fixes
asymmetric PKCE extension, token binding for refresh tokens and
post message response mode to replace fragment.
17 for/ 0 against/ 0 need more info

22. oauth WG (SEC)
Rechartering
API Management
リソースサーバーが保護されたリソースについての設定を認可サーバに登録
User-‐‑‒Managed Access(UMA)で利利⽤用される
6 for / zero against / 9 need more information
JWT Claims
draft-‐‑‒jones-‐‑‒oauth-‐‑‒amr-‐‑‒values draftをベースに新しくJWT Claimsを定義
9 for / zero against / 6 need more information

23. oauth WG (SEC)
Rechartering
Device Flow
FacebookとGoogleで実装されているブラウザーが利利⽤用できないデバイ
ス（tvOSなど）をOAuth 2.0で認証する
16 for / zero against / 2 need more information
Discovery(Oauth Meta)
OAuthのバージョニングのために各エンドポイントのURLを指定するた
めのパラメーターを追加
19 for / zero against / 4 need more information

24. core WG (ART)
CoRE Resource Directory
draft-‐‑‒ietf-‐‑‒core-‐‑‒resource-‐‑‒directory-‐‑‒05.txt
Resource Directory(RD)を経由してM2Mで必要
なリソースを⾒見見つける

25. core WG (ART)
A TCP and TLS Transport for the
Constrained Application Protocol (CoAP)
draft-‐‑‒tschofenig-‐‑‒core-‐‑‒coap-‐‑‒tcp-‐‑‒tls-‐‑‒04.txt
CoAP over TCP / CoAP over TLSを定義

26. core WG (ART)
Reusable Interface Definitions for
Constrained RESTful Environments
draft-‐‑‒ietf-‐‑‒core-‐‑‒interfaces-‐‑‒04.txt
Content-‐‑‒Formats・Links・Collection Types・
Binding methods(Polloing/Observe/Push)・
Interfaceなどが定義されている

27. core WG (ART)
Media Types for Sensor Markup Language
(SenML)
draft-‐‑‒jennings-‐‑‒core-‐‑‒senml-‐‑‒02.txt
センサー測定値とデバイスパラメーターを表現す
るためのメディアタイプを定義
HTTPやCoAPで利利⽤用できるJSON、CBOR、
XML、EXIによって定義されている

28. core WG (ART)
CoAP Management Interface(COMI)
draft-‐‑‒vanderstok-‐‑‒core-‐‑‒comi-‐‑‒08.txt
制限のあるデバイスのためのネットワーク管理理イン
ターフェース
メッセージサイズ、サーバーコードサイズ、アプリ
ケーション開発をよくするための設計
CoAP・RESTCONF/YANG・CBOR

29. core WG (ART)
Patch Method for Constrained Application
Protocol (CoAP)
draft-‐‑‒vanderstok-‐‑‒core-‐‑‒patch-‐‑‒02.txt
既存のCoAP PUT methodは部分的なリソースの
置き換えができない
部分的なCoAPのリソースの変更更するために新し
いmethodとしてPATCHとiPATCHを追加

30. core WG (ART)
CoAP FETCH Method
draft-‐‑‒bormann-‐‑‒core-‐‑‒coap-‐‑‒fetch-‐‑‒00.txt
新しいCoAP methodとしてFETCHを追加
Constrained Objects Language
draft-‐‑‒veillette-‐‑‒core-‐‑‒cool-‐‑‒00
制限されたデバイスや低消費電⼒力力・⾮非可逆などの制限
されたネットワークに適応した管理理インターフェース

31. core WG (ART)
Publish-‐‑‒Subscribe Broker for the
Constrained Application Protocol (CoAP)
draft-‐‑‒koster-‐‑‒core-‐‑‒coap-‐‑‒pubsub-‐‑‒03
常時接続が難しいノードをサポートするための
CoAPの機能拡張したPub/Sub brokerを定義

32. まとめ
SEC area
1. ace WG
OAuthベースのソリューションの策定
が進んでいく
2. cose WG
JOSEと同様の議論論もあり、まだissue
が多く残っている
3. tokbind WG
tls_̲uniqueからEKMに変更更された
4. oauth WG
PoP周りのトークン置き換えやパラ
メーター改ざんの対策が進んでいる
ART area
1. core WG
インターフェースの定義からmethod
の追加、Pub/Sub brokerまで多くの
draftが並⾏行行して議論論されている

33. ご清聴ありがとう
ございました