RFC 8959 - The "secret-token" URI Scheme 日本語訳

原文URL : https://www.rfc-editor.org/rfc/rfc8959.html
タイトル : RFC 8959 - 「秘密トークン」URIスキーム
翻訳編集 : 自動生成

[要約] RFC 8959は"secret-token" URIスキームに関する文書で、秘密情報を安全に伝達するための方法を定義しています。このスキームの目的は、アプリケーション間での秘密データの安全な共有を可能にすることです。利用場面としては、認証トークンの交換、秘密鍵の共有、またはセキュリティ情報の伝達などがあります。

Internet Engineering Task Force (IETF)                     M. Nottingham
Request for Comments: 8959                                  January 2021
Category: Informational
ISSN: 2070-1721

The "secret-token" URI Scheme

「秘密トークン」URIスキーム

Abstract

概要

This document registers the "secret-token" URI scheme to aid in the identification of authentication tokens.

この文書は、認証トークンの識別を支援するために「秘密トークン」URIスキームを登録します。

Status of This Memo

本文書の位置付け

This document is not an Internet Standards Track specification; it is published for informational purposes.

この文書はインターネット標準のトラック仕様ではありません。情報提供のために公開されています。

This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are candidates for any level of Internet Standard; see Section 2 of RFC 7841.

この文書は、インターネットエンジニアリングタスクフォース（IETF）の製品です。IETFコミュニティのコンセンサスを表します。それは公開レビューを受け、インターネットエンジニアリングステアリンググループ（IESG）による出版の承認を受けました。IESGによって承認されたすべての文書がすべてのレベルのインターネット規格の候補者ではありません。RFC 7841のセクション2を参照してください。

Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at https://www.rfc-editor.org/info/rfc8959.

この文書の現在のステータス、エラータ、およびフィードバックの提供方法に関する情報は、https://www.rfc-editor.org/info/rfc8959で入手できます。

著作権表示

著作権（C）2021 IETF信頼と文書著者として識別された人。全著作権所有。

This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (https://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.

このドキュメントは、このドキュメントの発行日に有効なBCP 78およびIETFドキュメントに関連するIETFトラストの法的規定（https://trustee.ietf.org/license-info）の対象となります。これらのドキュメントは、このドキュメントに関するお客様の権利と制限について説明しているため、注意深く確認してください。このドキュメントから抽出されたコードコンポーネントには、Trust LegalProvisionsのセクション4.eで説明されているSimplifiedBSD Licenseテキストが含まれている必要があり、Simplified BSDLicenseで説明されているように保証なしで提供されます。

Table of Contents

   1.  Introduction
     1.1.  Notational Conventions
   2.  The "secret-token" URI Scheme
   3.  IANA Considerations
   4.  Security Considerations
   5.  References
     5.1.  Normative References
     5.2.  Informative References
   Acknowledgements
   Author's Address

1. Introduction

1. はじめに

It has become increasingly common to use bearer tokens as an authentication mechanism in various protocols.

さまざまなプロトコルの認証メカニズムとしてベアラトークンを使用することがますます一般的になっています。

A bearer token is a security token with the property that any party in possession of the token (a "bearer") can use the token in any way that any other party in possession of it can. Using a bearer token does not require a bearer to prove possession of cryptographic key material (proof-of-possession).

ベアラトークンは、トークンを所有しているパーティー（「ベアラ」）が、他のパーティーができることを可能にすることができるような方法でトークンを使用できるセキュリティトークンです。ベアラトークンを使用することは、暗号化キーマテリアルの所持を証明するためのベアラを必要としません（所持証証書）。

Unfortunately, the number of security incidents involving accidental disclosure of these tokens has also increased. For example, we now regularly hear about a developer committing an access token to a public source code repository, either because they didn't realize it was included in the committed code or because they didn't realize the implications of its disclosure.

残念ながら、これらのトークンの偶発的な開示を含むセキュリティ事件の数も増えました。たとえば、開発者が公共のソースコードリポジトリにコミットする開発者について定期的に聞いています。

This specification registers the "secret-token" URI scheme to aid prevention of such accidental disclosures. When tokens are easier to unambiguously identify, they can trigger warnings in continuous integration systems or be used in source code repositories themselves. They can also be scanned for separately.

この仕様は、そのような偶発的な開示の防止を助けるために「秘密トークン」URIスキームを登録する。トークンが明確に識別しやすい場合、それらは継続的な統合システムで警告を引き起こすか、ソースコードリポジトリ自体で使用されます。それらは別々にスキャンすることもできます。

For example, if cloud.example.net issues access tokens to its clients for later use, and it does so by formatting them as "secret-token" URIs, tokens that "leak" into places that they don't belong are easier to identify. This could be through a variety of mechanisms; for example, if repo.example.com can be configured to refuse commits containing "secret-token" URIs, it helps its customers avoid accidental disclosures.

たとえば、cloud.example.netが後で使用するためにクライアントにアクセストークンを発行し、それらを "Secret-Token" URIとしてフォーマットすることによってそうします。識別します。これはさまざまなメカニズムを通して行うことができます。たとえば、REPO.EXAMPLE.comを「Secret-Token」URIを含むコミットを拒否するように設定できる場合は、顧客が偶発的な開示を回避するのに役立ちます。

"secret-token" URIs are intended to aid in identification of generated secrets, like API keys and similar tokens. They are not intended for use in controlled situations where ephemeral tokens are used, such as things like Cross-Site Request Forgery (CSRF) tokens.

「Secret-Token」URIは、APIキーや同様のトークンなど、生成された秘密の識別を助けることを目的としています。クロスサイトリクエスト偽造（CSRF）トークンのようなものなど、エフェメラルトークンが使用される管理された状況での使用を意図していません。

1.1. Notational Conventions

1.1. 表記規則

The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "NOT RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in BCP 14 [RFC2119] [RFC8174] when, and only when, they appear in all capitals, as shown here.

この文書のキーワード "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", および "OPTIONAL" はBCP 14 [RFC2119] [RFC8174]で説明されているように、すべて大文字の場合にのみ解釈されます。

This document uses ABNF [RFC5234]. It also uses the pchar rule from [RFC3986].

この文書はABNF [RFC5234]を使用しています。PCHARルールを[RFC3986]からも使用します。

2. The "secret-token" URI Scheme

2. 「秘密トークン」URIスキーム

The "secret-token" URI scheme identifies a token that is intended to be a secret.

「Secret-Token」URIスキームは、秘密であることを意図したトークンを識別します。

   secret-token-URI    = secret-token-scheme ":" token
   secret-token-scheme = "secret-token"
   token               = 1*pchar

See [RFC3986], Section 3.3 for a definition of pchar. Disallowed characters -- including non-ASCII characters -- MUST be encoded into UTF-8 [RFC3629] and then percent-encoded ([RFC3986], Section 2.1).

PCHARの定義については、[RFC3986]、3.3項を参照してください。非ASCII文字を含む許可な文字 - UTF-8 [RFC3629]にエンコードされ、その後パーセントエンコード（[RFC3986]、セクション2.1）に符号化する必要があります。

When a token is both generated and presented for authentication, the entire URI MUST be used, without changes.

トークンが生成され認証のために提示されると、変更なしにURI全体を使用する必要があります。

For example, given the URI:

たとえば、URIを考えると：

secret-token:E92FB7EB-D882-47A4-A265-A0B6135DC842%20foo

秘密トークン：E92FB7EB-D882-47A4-A4-A4-A4-A4-A0B6135DC842％20Foo

This (character-for-character, case-sensitive) string will both be issued by the token authority and required for later access. Therefore, if the example above were used as a bearer token in [RFC6750], a client might send:

これ（文字用文字、大文字と小文字の区別性）文字列は、どちらもトークン権限によって発行され、後でアクセスするために必要です。したがって、上記の例を[RFC6750]のベアラトークンとして使用されている場合、クライアントは送信される可能性があります。

   GET /authenticated/stuff HTTP/1.1
   Host: www.example.com
   Authorization: Bearer
     secret-token:E92FB7EB-D882-47A4-A265-A0B6135DC842%20foo

3. IANA Considerations

3. IANAの考慮事項

This document registers the following value in the "Uniform Resource Identifier (URI) Schemes" registry:

このドキュメントでは、次の値を「Uniform Resource Identifier（URI）」レジストリに登録します。

   Scheme name:  secret-token
   Status:  provisional
   Applications/protocols that use this scheme:  none yet
   Contact:  iesg@iesg.org
   Change Controller:  IESG
   References:  RFC 8959

4. Security Considerations

4. セキュリティに関する考慮事項

The token ABNF rule allows tokens as small as one character. This is not recommended practice; applications should evaluate their requirements for entropy and issue tokens correspondingly. See [RFC4086] for more information.

トークンABNFルールでは、トークンを1文字ほど小さくすることができます。これは推奨されていません。アプリケーションは、エントロピーと発行トークンの要件を対応して評価する必要があります。詳細については[RFC4086]を参照してください。

This URI scheme is intended to reduce the incidence of accidental disclosure; it cannot prevent intentional disclosure.

このURIスキームは、偶発的な開示の発生率を減らすことを目的としています。意図的な開示を防ぐことはできません。

If it is difficult to correctly handle secret material, or unclear as to what the appropriate handling is, users might choose to obfuscate their secret tokens in order to evade detection (for example, removing the URI scheme for storage). Mitigating this risk is often beyond the reach of the system using the "secret-token" URI; users can be cautioned against such practices and be provided tools to help.

秘密の素材を正しく処理するのが難しい場合、または適切な取り扱いが何であるかについては不明確な場合、ユーザーは検出を回避するために秘密トークンを難読化することを選択します（たとえば、ストレージのURIスキームの削除）。このリスクを軽減することは、「Secret-Token」URIを使用してシステムの範囲を超えています。ユーザーはそのような慣行に対して警告することができ、手助けするためのツールを提供することができます。

5. References

5. 参考文献

5.1. Normative References

5.1. 引用文献

[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, DOI 10.17487/RFC2119, March 1997, <https://www.rfc-editor.org/info/rfc2119>.

[RFC2119] BRADNER、S、「RFCSで使用するためのキーワード」、BCP 14、RFC 2119、DOI 10.17487 / RFC2119、1997年3月、<https：//www.rfc-editor.org/info/RFC2119>。

[RFC3629] Yergeau, F., "UTF-8, a transformation format of ISO 10646", STD 63, RFC 3629, DOI 10.17487/RFC3629, November 2003, <https://www.rfc-editor.org/info/rfc3629>.

[RFC3629] YERGEAU、F。、「UTF-8、ISO 10646の変換フォーマット」、STD 63、RFC 3629、DOI 10.17487 / RFC3629、2003年11月、<https：//www.rfc-editor.org/info/RFC3629>。

[RFC3986] Berners-Lee, T., Fielding, R., and L. Masinter, "Uniform Resource Identifier (URI): Generic Syntax", STD 66, RFC 3986, DOI 10.17487/RFC3986, January 2005, <https://www.rfc-editor.org/info/rfc3986>.

[RFC3986] Berners-Lee、T.、Field、R.、およびL.Masinter、「Uniform Resource Identifier（URI）：汎用構文」、STD 66、RFC 3986、DOI 10.17487 / RFC3986、2005年1月、<https：//www.rfc-editor.org/info/rfc3986>。

[RFC5234] Crocker, D., Ed. and P. Overell, "Augmented BNF for Syntax Specifications: ABNF", STD 68, RFC 5234, DOI 10.17487/RFC5234, January 2008, <https://www.rfc-editor.org/info/rfc5234>.

[RFC5234] Crocker、D.、ED。2008年1月、<https://www.rfc-editor.org/info/rfc-editor.org/info/rfc- editor.org/info/rfc523,2008、<https://www.rfc-editor.org/info/rfc- editor.org/info/rfc- editor.org/info/rfc- editor.org/info/rfc- editor.org/info/rfc- editor.org/info/rfc5234>。

[RFC8174] Leiba, B., "Ambiguity of Uppercase vs Lowercase in RFC 2119 Key Words", BCP 14, RFC 8174, DOI 10.17487/RFC8174, May 2017, <https://www.rfc-editor.org/info/rfc8174>.

[RFC8174] Leiba、B、「RFC 2119キーワードの大文字の曖昧さ」、BCP 14、RFC 8174、DOI 10.17487 / RFC8174、2017年5月、<https：//www.rfc-editor.org/info/RFC8174>。

5.2. Informative References

5.2. 参考引用

[RFC4086] Eastlake 3rd, D., Schiller, J., and S. Crocker, "Randomness Requirements for Security", BCP 106, RFC 4086, DOI 10.17487/RFC4086, June 2005, <https://www.rfc-editor.org/info/rfc4086>.

[RFC4086]イーストレイク3RD、D.、Schiller、J.、S. Crocker、「セキュリティのためのランダム性要件」、BCP 106、RFC 4086、DOI 10.17487 / RFC4086、2005年6月、<https：//www.rfc-編集者.org / info / rfc4086>。

[RFC6750] Jones, M. and D. Hardt, "The OAuth 2.0 Authorization Framework: Bearer Token Usage", RFC 6750, DOI 10.17487/RFC6750, October 2012, <https://www.rfc-editor.org/info/rfc6750>.

[RFC6750] Jones、M.およびD. Hardt、「OAuth 2.0認証フレームワーク：Bearer Token Usage」、RFC 6750、DOI 10.17487 / RFC6750、2012年10月、<https：//www.rfc-editor.org/info/RFC6750>。

Acknowledgements

謝辞

The definition of bearer tokens is from [RFC6750].

ベアラトークンの定義は[RFC6750]からのものです。

Author's Address

著者の住所

Mark Nottingham Prahran VIC Australia

Mark Nottingham Prahran Vic Australia

   Email: mnot@mnot.net
   URI:   https://www.mnot.net/