[要約] RFC 9440は、TLS終端リバースプロキシが、相互認証されたクライアントの証明書情報をオリジンサーバーに伝えるためのHTTPヘッダーフィールドを定義しています。「Client-Cert」および「Client-Cert-Chain」フィールドを使用し、プロキシ背後のサーバーがクライアントのアイデンティティを一貫して検証できるようにします。従来、非標準的な手法で行われていた証明書情報の転送を標準化し、相互運用性とセキュリティを向上させることを目的としています。
Internet Engineering Task Force (IETF) B. Campbell
Request for Comments: 9440 Ping Identity
Category: Informational M. Bishop, Ed.
ISSN: 2070-1721 Akamai
July 2023
This document describes HTTP extension header fields that allow a TLS terminating reverse proxy (TTRP) to convey the client certificate information of a mutually authenticated TLS connection to the origin server in a common and predictable manner.
このドキュメントでは、TLS終端リバースプロキシ (TTRP) が相互認証されたTLS接続のクライアント証明書情報を、一般的で予測可能な方法でオリジンサーバに伝達できるようにする、HTTP拡張ヘッダーフィールドについて説明します。
This document is not an Internet Standards Track specification; it is published for informational purposes.
このドキュメントは、インターネット標準の追跡仕様ではありません。情報目的で公開されています。
This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are candidates for any level of Internet Standard; see Section 2 of RFC 7841.
このドキュメントは、インターネットエンジニアリングタスクフォース（IETF）の製品です。IETFコミュニティのコンセンサスを表しています。公開レビューを受けており、インターネットエンジニアリングステアリンググループ（IESG）からの出版が承認されています。IESGによって承認されたすべてのドキュメントが、インターネット標準のあらゆるレベルの候補者であるわけではありません。RFC 7841のセクション2を参照してください。
Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at https://www.rfc-editor.org/info/rfc9440.
このドキュメントの現在のステータス、任意の正誤表（errata）、およびフィードバックの提供方法に関する情報は、https://www.rfc-editor.org/info/rfc9440 で入手できます。
Copyright (c) 2023 IETF Trust and the persons identified as the document authors. All rights reserved.
著作権（c）2023 IETF Trustおよび文書著者として特定された人。無断転載を禁じます。
This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (https://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Revised BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Revised BSD License.
このドキュメントは、BCP 78およびIETFドキュメント（https://trustee.ietf.org/license-info）に関連するIETF Trustの法的規定（本ドキュメントの公開日に有効なもの）の対象となります。これらのドキュメントには、このドキュメントに関するお客様の権利と制限が記載されているため、注意深く確認してください。このドキュメントから抽出されたコードコンポーネントには、Trust法的規定のセクション4.eに記載されているとおり、Revised BSD Licenseのテキストを含める必要があり、また、Revised BSD Licenseに記載されているとおり、保証なしで提供されます。
1. Introduction
1.1. Requirements Notation and Conventions
1.2. Terminology and Applicability
2. HTTP Header Fields and Processing Rules
2.1. Encoding
2.2. Client-Cert HTTP Header Field
2.3. Client-Cert-Chain HTTP Header Field
2.4. Processing Rules
3. Deployment Considerations
3.1. Header Field Compression
3.2. Message Header Size
3.3. TLS Session Resumption
4. Security Considerations
5. IANA Considerations
5.1. HTTP Field Name Registrations
6. References
6.1. Normative References
6.2. Informative References
Appendix A. Example
Appendix B. Select Design Considerations
B.1. Field Injection
B.2. The Forwarded HTTP Extension
B.3. The Whole Certificate and Certificate Chain
Acknowledgements
Authors' Addresses
A fairly common deployment pattern for HTTPS applications is to have the origin HTTP application servers sit behind a reverse proxy that terminates TLS connections from clients. The proxy is accessible to the Internet and dispatches client requests to the appropriate origin server within a private or protected network. The origin servers are not directly accessible by clients and are only reachable through the reverse proxy. The backend details of this type of deployment are typically opaque to clients who make requests to the proxy server and see responses as though they originated from the proxy server itself. Although HTTPS is also usually employed between the proxy and the origin server, the TLS connection that the client establishes for HTTPS is only between itself and the reverse proxy server.
HTTPSアプリケーションのかなり一般的な展開パターンは、クライアントからのTLS接続を終端するリバースプロキシの背後にオリジンHTTPアプリケーションサーバを配置することです。プロキシはインターネットに公開されており、プライベートまたは保護されたネットワーク内の適切なオリジンサーバにクライアントリクエストを振り分けます。オリジンサーバはクライアントから直接アクセスできず、リバースプロキシ経由でのみ到達可能です。このタイプの展開のバックエンドの詳細は、通常、プロキシサーバにリクエストを送信し、プロキシサーバ自体から応答が返されたかのように見えるクライアントにとっては不透明です。HTTPSは通常、プロキシとオリジンサーバの間でも使用されますが、クライアントがHTTPS用に確立するTLS接続は、クライアントとリバースプロキシサーバの間のみとなります。
The deployment pattern is found in a number of varieties such as n-tier architectures, content delivery networks, application load-balancing services, and ingress controllers.
展開パターンは、n層アーキテクチャ、コンテンツ配信ネットワーク、アプリケーションの負荷バランスサービス、イングレスコントローラーなど、さまざまな種類にあります。
Although not exceedingly prevalent, TLS client certificate authentication is sometimes employed, and in such cases the origin server often requires information about the client certificate for its application logic. Such logic might include access control decisions, audit logging, and binding issued tokens or cookies to a certificate, including the respective validation of such bindings. The specific details needed from the certificate also vary with the application requirements. In order for these types of application deployments to work in practice, the reverse proxy needs to convey information about the client certificate to the origin application server. At the time of writing, a common way this information is conveyed is by using non-standard fields to carry the certificate (in some encoding) or individual parts thereof in the HTTP request that is dispatched to the origin server. This solution works, but interoperability between independently developed components can be cumbersome or even impossible depending on the implementation choices respectively made (like what field names are used or are configurable, which parts of the certificate are exposed, or how the certificate is encoded). A well-known predictable approach to this commonly occurring functionality could improve and simplify interoperability between independent implementations.
それほど一般的ではありませんが、TLSクライアント証明書認証が採用されることがあり、そのような場合、オリジンサーバは多くの場合、アプリケーションロジックのためにクライアント証明書に関する情報を必要とします。このようなロジックには、アクセス制御の決定、監査ログ、および発行されたトークンやCookieの証明書へのバインド（そのようなバインドのそれぞれの検証を含む）が含まれる場合があります。証明書から必要となる特定の詳細は、アプリケーションの要件によっても異なります。この種のアプリケーション展開を実際に機能させるには、リバースプロキシがクライアント証明書に関する情報をオリジンアプリケーションサーバに伝える必要があります。本稿執筆時点では、この情報を伝える一般的な方法は、非標準のフィールドを使用して、オリジンサーバに送信される HTTP リクエストで（何らかのエンコードで）証明書またはその一部を運ぶことです。このソリューションは機能しますが、独自に開発されたコンポーネント間の相互運用性は、採用された実装の選択（使用されるフィールド名、設定の可否、証明書のどの部分が公開されるか、証明書がどのようにエンコードされるかなど）によっては、煩雑であったり、不可能であったりすることさえあります。この一般的によく発生する機能に対して、予測可能なアプローチが確立されれば、独立した実装間の相互運用性を向上させ、簡素化できる可能性があります。
The scope of this document is to describe existing practice while codifying specific details sufficient to facilitate improved and lower-touch interoperability. As such, this document describes two HTTP header fields, "Client-Cert" and "Client-Cert-Chain", which a TLS terminating reverse proxy (TTRP) adds to requests sent to the backend origin servers. The Client-Cert field value contains the end-entity client certificate from the mutually authenticated TLS connection between the originating client and the TTRP. Optionally, the Client-Cert-Chain field value contains the certificate chain used for validation of the end-entity certificate. This enables the backend origin server to utilize the client certificate information in its application logic. While there may be additional proxies or hops between the TTRP and the origin server (potentially even with mutually authenticated TLS connections between them), the scope of the Client-Cert header field is intentionally limited to exposing to the origin server the certificate that was presented by the originating client in its connection to the TTRP.
このドキュメントの範囲は、既存の慣行を記述しつつ、改善された簡便な相互運用性を促進するために十分な特定の詳細を規定することです。そのため、本ドキュメントでは、TLS終端リバースプロキシ (TTRP) がバックエンドのオリジンサーバに送信されるリクエストに追加する2つのHTTPヘッダーフィールド、「Client-Cert」と「Client-Cert-Chain」について説明します。Client-Certフィールドの値には、発信元クライアントとTTRPの間の相互認証されたTLS接続からのエンドエンティティクライアント証明書が含まれます。オプションで、Client-Cert-Chainフィールドの値には、エンドエンティティ証明書の検証に使用される証明書チェーンが含まれます。これにより、バックエンドのオリジンサーバは、アプリケーションロジックでクライアント証明書情報を利用できるようになります。TTRPとオリジンサーバの間に追加のプロキシやホップ（それらの間で相互認証されたTLS接続がある場合も含む）が存在する可能性がありますが、Client-Certヘッダーフィールドの範囲は、発信元クライアントがTTRPとの接続において提示した証明書をオリジンサーバに公開することに意図的に限定されています。
The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "NOT RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in BCP 14 [RFC2119] [RFC8174] when, and only when, they appear in all capitals, as shown here.
この文書のキーワード "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", および "OPTIONAL" はBCP 14 [RFC2119] [RFC8174]で説明されているように、すべて大文字の場合にのみ解釈されます。
This document uses the following terminology from Section 3 of [STRUCTURED-FIELDS] to specify syntax and parsing: List and Byte Sequence.
このドキュメントでは、構文と解析を指定するために、[STRUCTURED-FIELDS] のセクション3にある次の用語を使用します：List および Byte Sequence。
Phrases like "TLS client certificate authentication" or "mutually authenticated TLS" are used throughout this document to refer to the process whereby, in addition to the normal TLS server authentication with a certificate, a client presents its X.509 certificate [RFC5280] and proves possession of the corresponding private key to a server when negotiating a TLS connection or the resumption of such a connection. In contemporary versions of TLS [TLS] [TLS1.2], mutual authentication requires the client to send the Certificate and CertificateVerify messages during the handshake and the server to verify the CertificateVerify and Finished messages.
「TLSクライアント証明書認証」や「相互認証TLS」などのフレーズは、本ドキュメントを通じて、証明書による通常のTLSサーバ認証に加えて、クライアントが自身のX.509証明書 [RFC5280] を提示し、TLS接続のネゴシエーションや再開時に、対応する秘密鍵の所有をサーバに証明するプロセスを指すために使用されます。TLSの現代的なバージョン [TLS] [TLS1.2] では、相互認証のために、クライアントはハンドシェイク中に Certificate メッセージと CertificateVerify メッセージを送信し、サーバは CertificateVerify メッセージと Finished メッセージを検証する必要があります。
HTTP/2 restricts TLS 1.2 renegotiation (Section 9.2.1 of [HTTP/2]) and prohibits TLS 1.3 post-handshake authentication (Section 9.2.3 of [HTTP/2]). However, they are sometimes used to implement reactive client certificate authentication in HTTP/1.1 [HTTP/1.1] where the server decides whether to request a client certificate based on the HTTP request. HTTP application data sent on such a connection after receipt and verification of the client certificate is also mutually authenticated and thus suitable for the mechanisms described in this document. With post-handshake authentication, there is also the possibility, though unlikely in practice, of multiple certificates and certificate chains from the client on a connection. In this case, only the certificate and chain of the last post-handshake authentication are to be utilized for the header fields described herein.
HTTP/2は、TLS 1.2の再交渉（[http/2]のセクション9.2.1）を制限し、TLS 1.3ポストハンドシェイク認証を禁止しています（[http/2]のセクション9.2.3）。ただし、HTTP/1.1 [HTTP/1.1]にリアクティブクライアント証明書認証を実装するために使用されることもあります。ここで、サーバーはHTTPリクエストに基づいてクライアント証明書を要求するかどうかを決定します。クライアント証明書の受領と検証後にこのような接続に送信されたHTTPアプリケーションデータも相互に認証されているため、このドキュメントで説明されているメカニズムに適しています。ポストハンドシェイク認証では、実際には、接続中のクライアントからの複数の証明書と証明書チェーンの可能性もありますが、実際にはありそうもありません。この場合、最後のポストハンドシェイク認証の証明書とチェーンのみが、本明細書に記載されているヘッダーフィールドに使用されます。
This document designates the following headers, defined further in Sections 2.2 and 2.3, respectively, to carry the client certificate information of a mutually authenticated TLS connection. The headers convey the information from the reverse proxy to the origin server.
このドキュメントは、相互に認証されたTLS接続のクライアント証明書情報を伝えるために、それぞれセクション2.2および2.3でさらに定義されている次のヘッダーを指定します。ヘッダーは、逆プロキシからOrigin Serverに情報を伝えます。
Client-Cert:
Client-Cert:
The end-entity certificate used by the client in the TLS handshake with the reverse proxy.
逆プロキシとのTLSハンドシェイクでクライアントが使用したエンドエンティティ証明書。
Client-Cert-Chain:
Client-Cert-Chain:
The certificate chain used for validation of the end-entity certificate provided by the client in the TLS handshake with the reverse proxy.
逆プロキシとのTLSハンドシェイクにおいて、クライアントによって提供されたエンドエンティティ証明書の検証に使用される証明書チェーン。
The headers in this document encode certificates as Byte Sequences (Section 3.3.5 of [STRUCTURED-FIELDS]) where the value of the binary data is a DER-encoded [ITU.X690] X.509 certificate [RFC5280]. In effect, this means that the binary DER certificate is encoded using base64 (without line breaks, spaces, or other characters outside the base64 alphabet) and delimited with colons on either side.
本ドキュメントのヘッダーは、バイナリデータの値が DER エンコードされた [ITU.X690] X.509 証明書 [RFC5280] である Byte Sequences ([STRUCTURED-FIELDS] のセクション 3.3.5) として証明書をエンコードします。実質的に、これはバイナリの DER 証明書が base64 (改行、スペース、または base64 アルファベット以外の文字を含まない) を使用してエンコードされ、両側をコロンで区切られることを意味します。
Note that certificates are often stored in an encoded textual format, such as the one described in Section 5.1 of [RFC7468], which is already nearly compatible with a Byte Sequence. If certificates are encoded as such, it will be sufficient to replace "---(BEGIN|END) CERTIFICATE---" with ":" and remove line breaks in order to generate an appropriate item.
証明書は、[RFC7468] のセクション 5.1 で説明されているような、Byte Sequence とほぼ互換性のあるエンコードされたテキスト形式で保存されることがよくあります。証明書がそのようにエンコードされている場合、「---(BEGIN|END) CERTIFICATE---」を「:」に置き換え、改行を削除すれば、適切な項目を生成するのに十分です。
In the context of a TLS terminating reverse proxy deployment, the proxy makes the TLS client certificate available to the backend application with the Client-Cert HTTP header field. This field contains the end-entity certificate used by the client in the TLS handshake.
TLS終端リバースプロキシ展開のコンテキストにおいて、プロキシは Client-Cert HTTPヘッダーフィールドを使用して、TLSクライアント証明書をバックエンドアプリケーションで利用可能にします。このフィールドには、TLSハンドシェイクでクライアントが使用したエンドエンティティ証明書が含まれます。
Client-Cert is a Byte Sequence with the value of the header encoded as described in Section 2.1.
Client-Cert は、セクション 2.1 で説明されているようにエンコードされたヘラーの値を持つ Byte Sequence です。
The Client-Cert header field is only for use in HTTP requests and MUST NOT be used in HTTP responses. It is a singleton header field value as defined in Section 5.5 of [HTTP], which MUST NOT have a list of values or occur multiple times in a request.
Client-Cert ヘッダーフィールドは HTTP リクエストでのみ使用され、HTTP レスポンスで使用してはなりません (MUST NOT)。これは [HTTP] のセクション 5.5 で定義されているシングルトンヘッダーフィールド値であり、値のリストを持ったり、リクエスト内に複数回出現したりしてはなりません (MUST NOT)。
Figure 2 in Appendix A has an example of the Client-Cert header field.
付録Aの図2には、クライアントケルトヘッダーフィールドの例があります。
In the context of a TLS terminating reverse proxy deployment, the proxy MAY make the certificate chain available to the backend application with the Client-Cert-Chain HTTP header field.
TLS終端リバースプロキシ展開のコンテキストにおいて、プロキシは Client-Cert-Chain HTTPヘッダーフィールドを使用して、証明書チェーンをバックエンドアプリケーションで利用可能にしてもよい (MAY)。
Client-Cert-Chain is a List (Section 3.1 of [STRUCTURED-FIELDS]). Each item in the List MUST be a Byte Sequence encoded as described in Section 2.1. The order is the same as the ordering in TLS (as described in Section 4.4.2 of [TLS]).
Client-Cert-Chain は List ([STRUCTURED-FIELDS] のセクション 3.1) です。List 内の各項目は、セクション 2.1 で説明されているようにエンコードされた Byte Sequence でなければなりません (MUST)。順序は TLS における順序と同じです ([TLS] のセクション 4.4.2 で説明されているとおり)。
Client-Cert-Chain MUST NOT appear unless Client-Cert is also present, and it does not itself include the end-entity certificate that is already present in Client-Cert. The root certificate MAY be omitted from Client-Cert-Chain, provided that the target origin server is known to possess the omitted trust anchor.
Client-Cert-Chain は、Client-Cert も存在しない限り出現してはならず (MUST NOT)、Client-Cert に既に存在するエンドエンティティ証明書自体は含みません。ターゲットのオリジンサーバが省略されたトラストアンカーを保持していることが分かっている場合は、ルート証明書を Client-Cert-Chain から省略してもよい (MAY)。
The Client-Cert-Chain header field is only for use in HTTP requests and MUST NOT be used in HTTP responses. It MAY have a list of values or occur multiple times in a request. For header compression purposes, it might be advantageous to split lists into multiple instances.
Client-Cert-Chain ヘッダーフィールドは HTTP リクエストでのみ使用され、HTTP レスポンスで使用してはなりません (MUST NOT)。これは値のリストを持ったり、リクエスト内に複数回出現したりしてもよい (MAY)。ヘッダー圧縮の目的では、リストを複数のインスタンスに分割することが有利な場合があります。
Figure 3 in Appendix A has an example of the Client-Cert-Chain header field.
付録Aの図3には、クライアントケートチェーンヘッダーフィールドの例があります。
This section outlines the applicable processing rules for a TTRP that has negotiated a mutually authenticated TLS connection to convey the client certificate from that connection to the backend origin servers. This technique is to be used as a configuration or deployment option, and the processing rules described herein are for servers operating with that option enabled.
このセクションでは、相互に認証されたTLS接続をネゴシエートして、その接続からバックエンドオリジンサーバーにクライアント証明書を伝えるために交渉したTTRPの該当する処理ルールの概要を説明します。この手法は、構成または展開オプションとして使用され、本明細書に記載されている処理ルールは、そのオプションが有効になって動作するサーバー用です。
A TTRP negotiates the use of a mutually authenticated TLS connection with the client, such as is described in [TLS] or [TLS1.2], and validates the client certificate per its policy and trusted certificate authorities. Each HTTP request on the underlying TLS connection is dispatched to the origin server with the following modifications:
TTRP は、[TLS] または [TLS1.2] に記載されているような相互認証された TLS 接続の使用をクライアントとネゴシエートし、そのポリシーおよび信頼できる証明機関に従ってクライアント証明書を検証します。基礎となる TLS 接続上の各 HTTP リクエストは、以下の修正を加えてオリジンサーバに送信されます：
1. The client certificate is placed in the Client-Cert header field of the dispatched request, as described in Section 2.2.
1. セクション 2.2 で説明されているように、クライアント証明書を送信リクエストの Client-Cert ヘッダーフィールドに配置する。
2. If so configured, the validation chain of the client certificate is placed in the Client-Cert-Chain header field of the request, as described in Section 2.3.
2. そのように設定されている場合、セクション 2.3 で説明されているように、クライアント証明書の検証チェーンをリクエストの Client-Cert-Chain ヘッダーフィールドに配置する。
3. Any occurrence of the Client-Cert or Client-Cert-Chain header fields in the original incoming request MUST be removed or overwritten before forwarding the request. An incoming request that has a Client-Cert or Client-Cert-Chain header field MAY be rejected with an HTTP 400 response.
3. 元の着信リクエストに Client-Cert または Client-Cert-Chain ヘッダーフィールドが存在する場合は、リクエストを転送する前に削除または上書きしなければならない (MUST)。Client-Cert または Client-Cert-Chain ヘッダーフィールドを持つ着信リクエストは、HTTP 400 レスポンスで拒否してもよい (MAY)。
Requests to the TTRP made over a TLS connection where the use of client certificate authentication was not negotiated MUST be sanitized by removing any and all occurrences of the Client-Cert and Client-Cert-Chain header fields prior to dispatching the request to the backend server.
クライアント証明書認証の使用がネゴシエートされなかった TLS 接続を介して行われた TTRP へのリクエストは、バックエンドサーバにリクエストを送信する前に、Client-Cert および Client-Cert-Chain ヘッダーフィールドのすべての出現を削除してサニタイズしなければならない (MUST)。
Backend origin servers may then use the Client-Cert header field of the request to determine if the connection from the client to the TTRP was mutually authenticated and, if so, the certificate thereby presented by the client. Access control decisions based on the client certificate (or lack thereof) can be conveyed by selecting response content as appropriate or with an HTTP 403 response, if the certificate is deemed unacceptable for the given context. Note that TLS clients that rely on error indications at the TLS layer for an unacceptable certificate will not receive those signals.
バックエンドのオリジンサーバは、リクエストの Client-Cert ヘッダーフィールドを使用して、クライアントから TTRP への接続が相互認証されたかどうか、および、もしそうであればクライアントによって提示された証明書を判断できます。クライアント証明書に基づく（または証明書の欠如に基づく）アクセス制御の決定は、特定のコンテキストに対して証明書が受け入れられないと判断された場合、適切にレスポンス内容を選択するか、HTTP 403 レスポンスによって伝えることができます。受け入れられない証明書に対して TLS レイヤーでのエラー表示に依存している TLS クライアントは、それらの信号を受信しないことに注意してください。
When the value of the Client-Cert request header field is used to select a response (e.g., the response content is access-controlled), the response MUST either be uncacheable (e.g., by sending Cache-Control: no-store) or be designated for selective reuse only for subsequent requests with the same Client-Cert header field value by sending a "Vary: Client-Cert" response header. If a TTRP encounters a response with Client-Cert or Client-Cert-Chain in the Vary header field (Section 12.5.5 of [HTTP]), it SHOULD prevent the user agent from caching the response by transforming the value of the Vary response header field to "*".
Client-Cert リクエストヘッダーフィールドの値を使用してレスポンスが選択される場合（例：レスポンス内容がアクセス制御されている場合）、そのレスポンスはキャッシュ不可とするか（例：Cache-Control: no-store を送信する）、または「Vary: Client-Cert」レスポンスヘッダーを送信することによって、同じ Client-Cert ヘッダーフィールド値を持つ後続のリクエストに対してのみ選択的に再利用するように指定しなければなりません (MUST)。TTRP が Vary ヘッダーフィールド ([HTTP] のセクション 12.5.5) に Client-Cert または Client-Cert-Chain を含むレスポンスに遭遇した場合、Vary レスポンスヘッダーフィールドの値を「*」に変換することによって、ユーザーエージェントがレスポンスをキャッシュするのを防ぐべきです (SHOULD)。
Forward proxies and other intermediaries MUST NOT add the Client-Cert or Client-Cert-Chain header fields to requests or modify an existing Client-Cert or Client-Cert-Chain header field. Similarly, clients MUST NOT employ the Client-Cert or Client-Cert-Chain header field in requests.
フォワードプロキシやその他の仲介者は、リクエストに Client-Cert または Client-Cert-Chain ヘッダーフィールドを追加したり、既存の Client-Cert または Client-Cert-Chain ヘッダーフィールドを修正したりしてはなりません (MUST NOT)。同様に、クライアントはリクエストにおいて Client-Cert または Client-Cert-Chain ヘッダーフィールドを使用してはなりません (MUST NOT)。
If the connection between the TTRP and origin is capable of field compression (e.g., HPACK [HPACK] or QPACK [QPACK]), and the TTRP multiplexes more than one client's requests into that connection, the size and variation of Client-Cert and Client-Cert-Chain field values can reduce compression efficiency significantly. An origin could mitigate the efficiency loss by increasing the size of the dynamic table. If the TTRP determines that the origin dynamic table is not sufficiently large, it may find it beneficial to always send the field value as a literal rather than entering it into the table.
TTRPとオリジンの間の接続がフィールド圧縮（例：HPACK [HPACK] または QPACK [QPACK]）に対応しており、TTRPがその接続に複数のクライアントのリクエストを多重化する場合、Client-Cert および Client-Cert-Chain フィールド値のサイズと変動によって、圧縮効率が大幅に低下する可能性があります。オリジンは動的テーブルのサイズを大きくすることで、効率の低下を緩和できます。TTRPがオリジンの動的テーブルが十分に大きくないと判断した場合、フィールド値をテーブルに登録するのではなく、常にリテラルとして送信することが有益であると判断するかもしれません。
A server in receipt of a larger message header than it is willing to handle can send an HTTP 431 (Request Header Fields Too Large) status code per Section 5 of [RFC6585]. Due to the typical size of the field values containing certificate data, recipients may need to be configured to allow for a larger maximum header size. An intermediary generating client certificate header fields on connections that allow for advertising the maximum acceptable header size (e.g., HTTP/2 [HTTP/2] or HTTP/3 [HTTP/3]) should account for the additional size of the header of the requests it sends, versus the requests it receives, by advertising a value to its clients that is sufficiently smaller so as to allow for the addition of certificate data.
[RFC6585] のセクション 5 に従い、処理しきれないほど大きなメッセージヘッダーを受信したサーバは、HTTP 431 (Request Header Fields Too Large) ステータスコードを送信できます。証明書データを含むフィールド値は通常サイズが大きいため、受信側では最大ヘッダーサイズを大きく設定する必要がある場合があります。許容可能な最大ヘッダーサイズの通知を許可する接続（例：HTTP/2 [HTTP/2] または HTTP/3 [HTTP/3]）においてクライアント証明書ヘッダーフィールドを生成する仲介者は、受信するリクエストに対して、送信するリクエストのヘッダーの追加サイズを考慮し、証明書データの追加を考慮して十分に小さい値をクライアントに通知する必要があります。
Some TLS implementations do not retain client certificate information when resuming. Providing inconsistent values of Client-Cert and Client-Cert-Chain when resuming might lead to errors, so implementations that are unable to provide these values SHOULD either disable resumption for connections with client certificates or initially omit a Client-Cert or Client-Cert-Chain field if it might not be available after resuming.
一部の TLS 実装では、再開時にクライアント証明書情報を保持しません。再開時に一貫性のない Client-Cert および Client-Cert-Chain の値を提供するとエラーにつながる可能性があるため、これらの値を提供できない実装は、クライアント証明書を使用する接続の再開を無効にするか、再開後に利用できない可能性がある場合は最初に Client-Cert または Client-Cert-Chain フィールドを省略すべきです (SHOULD)。
The header fields described herein enable a TTRP and backend or origin server to function together as though, from the client's perspective, they are a single logical server-side deployment of HTTPS over a mutually authenticated TLS connection. However, use of the header fields outside that intended use case may undermine the protections afforded by TLS client certificate authentication. Therefore, steps such as those described below need to be taken to prevent unintended use, both in sending the header field and in relying on its value.
本ドキュメントで説明するヘッダーフィールドにより、TTRPとバックエンドまたはオリジンサーバは、クライアントの視点からは、相互認証されたTLS接続を介したHTTPSの単一の論理的なサーバ側展開であるかのように連携して動作できるようになります。しかし、意図されたユースケース以外でこれらのヘッダーフィールドを使用すると、TLSクライアント証明書認証によって提供される保護が損なわれる可能性があります。そのため、ヘッダーフィールドの送信と、その値への依存の両方において、意図しない使用を防ぐために、以下に説明するような手順を講じる必要があります。
Producing and consuming the Client-Cert and Client-Cert-Chain header fields SHOULD be configurable options, respectively, in a TTRP and backend server (or in an individual application in that server). The default configuration for both should be to not use the header fields, thus requiring an "opt-in" to the functionality.
Client-Cert および Client-Cert-Chain ヘッダーフィールドの生成と消費は、それぞれ TTRP およびバックエンドサーバ（またはそのサーバ内の個々のアプリケーション）において設定可能なオプションであるべきです (SHOULD)。両方のデフォルト設定はヘッダーフィールドを使用しないようにすべきであり、その機能を使用するには「オプトイン」を必要とします。
In order to prevent field injection, backend servers MUST only accept the Client-Cert and Client-Cert-Chain header fields from a trusted TTRP (or other proxy in a trusted path from the TTRP). A TTRP MUST sanitize the incoming request before forwarding it on by removing or overwriting any existing instances of the fields. Otherwise, arbitrary clients can control the field values as seen and used by the backend server. It is important to note that neglecting to prevent field injection does not "fail safe" in that the nominal functionality will still work as expected even when malicious actions are possible. As such, extra care is recommended in ensuring that proper field sanitation is in place.
フィールドインジェクションを防ぐために、バックエンドサーバは、信頼できる TTRP（または TTRP からの信頼できるパスにある他のプロキシ）からの Client-Cert および Client-Cert-Chain ヘッダーフィールドのみを受け入れなければなりません (MUST)。TTRP は、リクエストを転送する前に、既存のフィールドのインスタンスを削除または上書きすることによって、着信リクエストをサニタイズしなければなりません (MUST)。そうしないと、任意のクライアントがバックエンドサーバに見られ、使用されるフィールド値を制御できてしまいます。フィールドインジェクションの防止を怠っても、悪意のある行為が可能な場合でも公称機能は期待通りに動作し続けるため、「フェイルセーフ」ではないことに注意することが重要です。そのため、適切なフィールドサニタイズが行われていることを確認するために、細心の注意を払うことが推奨されます。
The communication between a TTRP and backend server needs to be secured against eavesdropping and modification by unintended parties.
TTRPサーバーとバックエンドサーバー間の通信は、意図しない当事者による盗聴および変更に対して保護する必要があります。
The configuration options and request sanitization are necessary functionalities of the respective servers. The other requirements can be met in a number of ways, which will vary based on specific deployments. The communication between a TTRP and backend or origin server, for example, might be authenticated in some way with the insertion and consumption of the Client-Cert and Client-Cert-Chain header fields occurring only on that connection. Appendix B.3 of [HTTPSIG] gives one example of this with an application of HTTP Message Signatures. Alternatively, the network topology might dictate a private network such that the backend application is only able to accept requests from the TTRP and the proxy can only make requests to that server. Other deployments that meet the requirements set forth herein are also possible.
設定オプションとリクエストのサニタイズは、それぞれのサーバに必要な機能です。その他の要件は、特定の展開に基づいて異なるさまざまな方法で満たすことができます。例えば、TTRPとバックエンドまたはオリジンサーバ間の通信は、その接続上でのみ Client-Cert および Client-Cert-Chain ヘッダーフィールドの挿入と消費が行われるように、何らかの方法で認証される場合があります。[HTTPSIG] の付録 B.3 は、HTTP Message Signatures の適用によるこの一例を示しています。あるいは、ネットワークトポロジによって、バックエンドアプリケーションが TTRP からのリクエストのみを受け入れ可能で、プロキシがそのサーバにのみリクエストを送信できるようなプライベートネットワークが規定される場合もあります。本ドキュメントに記載された要件を満たすその他の展開も可能です。
IANA has registered the following entries in the "Hypertext Transfer Protocol (HTTP) Field Name Registry" defined by "HTTP Semantics" [HTTP]:
IANAは、「HTTP Semantics」[HTTP]で定義された「HyperText Transfer Protocol（HTTP）フィールド名レジストリ」に次のエントリを登録しています。
+===================+===========+=====================+
| Field Name | Status | Reference |
+===================+===========+=====================+
| Client-Cert | permanent | RFC 9440, Section 2 |
+-------------------+-----------+---------------------+
| Client-Cert-Chain | permanent | RFC 9440, Section 2 |
+-------------------+-----------+---------------------+
Table 1: Hypertext Transfer Protocol (HTTP) Field Name Registry
表1：ハイパーテキスト転送プロトコル（HTTP）フィールド名レジストリ
[HTTP] Fielding, R., Ed., Nottingham, M., Ed., and J. Reschke,
Ed., "HTTP Semantics", STD 97, RFC 9110,
DOI 10.17487/RFC9110, June 2022,
<https://www.rfc-editor.org/info/rfc9110>.
[ITU.X690] ITU-T, "Information technology - ASN.1 encoding rules:
Specification of Basic Encoding Rules (BER), Canonical
Encoding Rules (CER) and Distinguished Encoding Rules
(DER)", ITU-T Recommendation X.690, February 2021,
<https://www.itu.int/rec/T-REC-X.690/en>.
[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate
Requirement Levels", BCP 14, RFC 2119,
DOI 10.17487/RFC2119, March 1997,
<https://www.rfc-editor.org/info/rfc2119>.
[RFC5280] Cooper, D., Santesson, S., Farrell, S., Boeyen, S.,
Housley, R., and W. Polk, "Internet X.509 Public Key
Infrastructure Certificate and Certificate Revocation List
(CRL) Profile", RFC 5280, DOI 10.17487/RFC5280, May 2008,
<https://www.rfc-editor.org/info/rfc5280>.
[RFC8174] Leiba, B., "Ambiguity of Uppercase vs Lowercase in RFC
2119 Key Words", BCP 14, RFC 8174, DOI 10.17487/RFC8174,
May 2017, <https://www.rfc-editor.org/info/rfc8174>.
[STRUCTURED-FIELDS]
Nottingham, M. and P-H. Kamp, "Structured Field Values for
HTTP", RFC 8941, DOI 10.17487/RFC8941, February 2021,
<https://www.rfc-editor.org/info/rfc8941>.
[HPACK] Peon, R. and H. Ruellan, "HPACK: Header Compression for
HTTP/2", RFC 7541, DOI 10.17487/RFC7541, May 2015,
<https://www.rfc-editor.org/info/rfc7541>.
[HTTP/1.1] Fielding, R., Ed., Nottingham, M., Ed., and J. Reschke,
Ed., "HTTP/1.1", STD 99, RFC 9112, DOI 10.17487/RFC9112,
June 2022, <https://www.rfc-editor.org/info/rfc9112>.
[HTTP/2] Thomson, M., Ed. and C. Benfield, Ed., "HTTP/2", RFC 9113,
DOI 10.17487/RFC9113, June 2022,
<https://www.rfc-editor.org/info/rfc9113>.
[HTTP/3] Bishop, M., Ed., "HTTP/3", RFC 9114, DOI 10.17487/RFC9114,
June 2022, <https://www.rfc-editor.org/info/rfc9114>.
[HTTPSIG] Backman, A., Ed., Richer, J., Ed., and M. Sporny, "HTTP
Message Signatures", Work in Progress, Internet-Draft,
draft-ietf-httpbis-message-signatures-17, 2 May 2023,
<https://datatracker.ietf.org/doc/html/draft-ietf-httpbis-
message-signatures-17>.
[QPACK] Krasic, C., Bishop, M., and A. Frindell, Ed., "QPACK:
Field Compression for HTTP/3", RFC 9204,
DOI 10.17487/RFC9204, June 2022,
<https://www.rfc-editor.org/info/rfc9204>.
[RFC6585] Nottingham, M. and R. Fielding, "Additional HTTP Status
Codes", RFC 6585, DOI 10.17487/RFC6585, April 2012,
<https://www.rfc-editor.org/info/rfc6585>.
[RFC7239] Petersson, A. and M. Nilsson, "Forwarded HTTP Extension",
RFC 7239, DOI 10.17487/RFC7239, June 2014,
<https://www.rfc-editor.org/info/rfc7239>.
[RFC7468] Josefsson, S. and S. Leonard, "Textual Encodings of PKIX,
PKCS, and CMS Structures", RFC 7468, DOI 10.17487/RFC7468,
April 2015, <https://www.rfc-editor.org/info/rfc7468>.
[RFC8705] Campbell, B., Bradley, J., Sakimura, N., and T.
Lodderstedt, "OAuth 2.0 Mutual-TLS Client Authentication
and Certificate-Bound Access Tokens", RFC 8705,
DOI 10.17487/RFC8705, February 2020,
<https://www.rfc-editor.org/info/rfc8705>.
[TLS] Rescorla, E., "The Transport Layer Security (TLS) Protocol
Version 1.3", RFC 8446, DOI 10.17487/RFC8446, August 2018,
<https://www.rfc-editor.org/info/rfc8446>.
[TLS1.2] Dierks, T. and E. Rescorla, "The Transport Layer Security
(TLS) Protocol Version 1.2", RFC 5246,
DOI 10.17487/RFC5246, August 2008,
<https://www.rfc-editor.org/info/rfc5246>.
In a hypothetical example where a TLS client would present the client and intermediate certificate from Figure 1 when establishing a mutually authenticated TLS connection with the TTRP, the proxy would send the Client-Cert field shown in Figure 2 to the backend. Note that line breaks and extra spaces have been added to the field value in Figures 2 and 3 for display and formatting purposes only.
TLSクライアントがTTRPと相互認証されたTLS接続を確立する際に、図1のクライアント証明書と中間証明書を提示する仮定の例では、プロキシは図2に示す Client-Cert フィールドをバックエンドに送信します。なお、図2および図3のフィールド値には、表示および書式設定の目的でのみ改行と余分なスペースが追加されていることに注意してください。
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
MIICBjCCAaygAwIBAgIJAKS0yiqKtlhoMAoGCCqGSM49BAMCMFYxCzAJBgNVBAYT
AlVTMRswGQYDVQQKDBJMZXQncyBBdXRoZW50aWNhdGUxKjAoBgNVBAMMIUxldCdz
IEF1dGhlbnRpY2F0ZSBSb290IEF1dGhvcml0eTAeFw0yMDAxMTQyMTI1NDVaFw00
MDAxMDkyMTI1NDVaMFYxCzAJBgNVBAYTAlVTMRswGQYDVQQKDBJMZXQncyBBdXRo
ZW50aWNhdGUxKjAoBgNVBAMMIUxldCdzIEF1dGhlbnRpY2F0ZSBSb290IEF1dGhv
cml0eTBZMBMGByqGSM49AgEGCCqGSM49AwEHA0IABFoaHU+Z5bPKmGzlYXtCf+E6
HYj62fORaHDOrt+yyh3H/rTcs7ynFfGn+gyFsrSP3Ez88rajv+U2NfD0o0uZ4Pmj
YzBhMB0GA1UdDgQWBBTEA2Q6eecKu9g9yb5glbkhhVINGDAfBgNVHSMEGDAWgBTE
A2Q6eecKu9g9yb5glbkhhVINGDAPBgNVHRMBAf8EBTADAQH/MA4GA1UdDwEB/wQE
AwIBhjAKBggqhkjOPQQDAgNIADBFAiEAmAeg1ycKHriqHnaD4M/UDBpQRpkmdcRF
YGMg1Qyrkx4CIB4ivz3wQcQkGhcsUZ1SOImd/lq1Q0FLf09rGfLQPWDc
-----END CERTIFICATE-----
Figure 1: Certificate Chain (with Client Certificate First)
図1：証明書チェーン（最初の証明書付き）
Client-Cert: :MIIBqDCCAU6gAwIBAgIBBzAKBggqhkjOPQQDAjA6MRswGQYDVQQKDBJ
MZXQncyBBdXRoZW50aWNhdGUxGzAZBgNVBAMMEkxBIEludGVybWVkaWF0ZSBDQTAeFw0
yMDAxMTQyMjU1MzNaFw0yMTAxMjMyMjU1MzNaMA0xCzAJBgNVBAMMAkJDMFkwEwYHKoZ
Izj0CAQYIKoZIzj0DAQcDQgAE8YnXXfaUgmnMtOXU/IncWalRhebrXmckC8vdgJ1p5Be
5F/3YC8OthxM4+k1M6aEAEFcGzkJiNy6J84y7uzo9M6NyMHAwCQYDVR0TBAIwADAfBgN
VHSMEGDAWgBRm3WjLa38lbEYCuiCPct0ZaSED2DAOBgNVHQ8BAf8EBAMCBsAwEwYDVR0
lBAwwCgYIKwYBBQUHAwIwHQYDVR0RAQH/BBMwEYEPYmRjQGV4YW1wbGUuY29tMAoGCCq
GSM49BAMCA0gAMEUCIBHda/r1vaL6G3VliL4/Di6YK0Q6bMjeSkC3dFCOOB8TAiEAx/k
HSB4urmiZ0NX5r5XarmPk0wmuydBVoU4hBVZ1yhk=:
Figure 2: Header Field in HTTP Request to Origin Server
図2：httpのヘッダーフィールドオリジンサーバーへのリクエスト
If the proxy were configured to also include the certificate chain, it would also include the Client-Cert-Chain header field. Note that while the following example does illustrate the TTRP inserting the root certificate, many deployments will opt to omit the trust anchor.
プロキシが証明書チェーンも含むように設定されている場合、Client-Cert-Chain ヘッダーフィールドも含まれます。なお、以下の例では TTRP がルート証明書を挿入していますが、多くの展開ではトラストアンカーを省略することを選択することに注意してください。
Client-Cert-Chain: :MIIB5jCCAYugAwIBAgIBFjAKBggqhkjOPQQDAjBWMQsw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:, :MIICBjCCAaygAw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:
Figure 3: Certificate Chain in HTTP Request to Origin Server
図3：HTTPのオリジンサーバーへのリクエストの証明書チェーン
This document requires that the TTRP sanitize the fields of the incoming request by removing or overwriting any existing instances of the Client-Cert and Client-Cert-Chain header fields before dispatching that request to the backend application. Otherwise, a client could inject its own values that would appear to the backend to have come from the TTRP. Although numerous other methods of detecting and preventing field injection are possible, such as the use of a unique secret value as part of the field name or value or the application of a signature, HMAC, or AEAD, there is no common general mechanism. The potential problem of client field injection is not at all unique to the functionality of this document; therefore, it would be inappropriate for this document to define a one-off solution. Since a generic common solution does not currently exist, stripping and sanitizing the fields is the de facto means of protecting against field injection in practice. Sanitizing the fields is sufficient when properly implemented and is a normative requirement of Section 4.
本ドキュメントでは、TTRPがバックエンドアプリケーションにリクエストを送信する前に、Client-Cert および Client-Cert-Chain ヘッダーフィールドの既存のインスタンスを削除または上書きすることによって、着信リクエストのフィールドをサニタイズすることを要求しています。そうしないと、クライアントが独自の値を注入し、それがバックエンドにとって TTRP から来たものであるかのように見えてしまう可能性があります。フィールド名や値の一部として一意の秘密値を使用したり、署名、HMAC、または AEAD を適用したりするなど、フィールドインジェクションを検出および防止する他の多くの方法が可能ですが、共通の一般的なメカニズムは存在しません。クライアントによるフィールドインジェクションの潜在的な問題は、本ドキュメントの機能に特有のものではありません。したがって、本ドキュメントで場当たり的な解決策を定義することは不適切です。現在、汎用的な共通の解決策は存在しないため、フィールドを削除してサニタイズすることが、実用上、フィールドインジェクションから保護するための事実上の手段となっています。フィールドのサニタイズは、適切に実装されれば十分であり、セクション 4 の規範的な要件となっています。
The Forwarded HTTP header field defined in [RFC7239] allows proxy components to disclose information lost in the proxying process. The TLS client certificate information of concern to this document could have been communicated with an extension parameter to the Forwarded field; however, doing so would have had some disadvantages that this document endeavored to avoid. The Forwarded field syntax allows for information about a full chain of proxied HTTP requests, whereas the Client-Cert and Client-Cert-Chain header fields of this document are concerned only with conveying information about the certificate presented by the originating client on the TLS connection to the TTRP (which appears as the server from that client's perspective) to backend applications. The multi-hop syntax of the Forwarded field is expressive but also more complicated, which would make processing it more cumbersome and, more importantly, would make properly sanitizing its content, as required by Section 4 to prevent field injection, considerably more difficult and error-prone. Thus, this document opted for a flatter and more straightforward structure.
[RFC7239] で定義されている Forwarded HTTP ヘッダーフィールドを使用すると、プロキシコンポーネントはプロキシプロセスで失われた情報を開示できます。本ドキュメントで扱う TLS クライアント証明書情報も、Forwarded フィールドの拡張パラメータとして伝達できた可能性がありますが、そうすることには本ドキュメントが避けようとしたいくつかの欠点がありました。Forwarded フィールドの構文はプロキシされた HTTP リクエストの完全なチェーンに関する情報を扱えますが、本ドキュメントの Client-Cert および Client-Cert-Chain ヘッダーフィールドは、発信元クライアントが TTRP との TLS 接続（そのクライアントの視点からはサーバに見える）において提示した証明書に関する情報をバックエンドアプリケーションに伝達することのみを目的としています。Forwarded フィールドのマルチホップ構文は表現力がありますが、より複雑でもあります。そのため、処理がより煩雑になり、さらに重要なことに、フィールドインジェクションを防ぐためにセクション 4 で要求されている内容の適切なサニタイズが、かなり困難でエラーが発生しやすくなります。したがって、本ドキュメントでは、よりフラットで単純な構造を選択しました。
Different applications will have varying requirements about what information from the client certificate is needed, such as the subject and/or issuer distinguished name, subject alternative name(s), serial number, subject public key info, fingerprint, etc. Furthermore, some applications, such as that described in [RFC8705], make use of the entire certificate. In order to accommodate the latter and ensure wide applicability by not trying to cherry-pick particular certificate information, this document opted to pass the full, encoded certificate as the value of the Client-Cert field.
クライアント証明書からどのような情報が必要とされるかは、主体者（subject）や発行者（issuer）の識別名、主体者代替名（SAN）、シリアル番号、主体者公開鍵情報、フィンガープリントなど、アプリケーションによって異なります。さらに、[RFC8705] で説明されているような一部のアプリケーションでは、証明書全体を使用します。後者に対応し、特定の証明書情報を選別しようとせずに幅広い適用性を確保するために、本ドキュメントではエンコードされた証明書全体を Client-Cert フィールドの値として渡すことを選択しました。
The validation of the client certificate and chain of the mutually authenticated TLS connection is typically performed by the TTRP during the handshake. With the responsibility of certificate validation falling on the TTRP, the end-entity certificate is oftentimes sufficient for the needs of the origin server. The separate Client-Cert-Chain field can convey the certificate chain for origin server deployments that require this additional information.
相互認証された TLS 接続のクライアント証明書とチェーンの検証は、通常、ハンドシェイク中に TTRP によって行われます。証明書の検証責任が TTRP にあるため、多くの場合、オリジンサーバのニーズにはエンドエンティティ証明書だけで十分です。独立した Client-Cert-Chain フィールドは、この追加情報を必要とするオリジンサーバの展開に対して、証明書チェーンを伝達できます。
The authors would like to thank the following individuals who have contributed to this document in various ways, ranging from just being generally supportive of bringing forth the document to providing specific feedback or content:
著者は、ドキュメントの提出を一般的に支援してくれた方から、特定のフィードバックや内容を提供してくれた方まで、さまざまな方法で本ドキュメントに貢献してくれた以下の個人に感謝します。
* Evan Anderson
* エヴァン・アンダーソン
* Annabelle Backman
* アナベルバックマン
* Alan Frindell
* アラン・フリンデル
* Rory Hewitt
* ロリー・ヒューイット
* Fredrik Jeansson
* フレドリックジーンズソン
* Benjamin Kaduk
* ベンジャミン・カドゥク
* Torsten Lodderstedt
* Torsten Lodderstedt
* Kathleen Moriarty
* キャスリーンモリアーティ
* Mark Nottingham
* マークノッティンガム
* Erik Nygren
* エリック・ニグレン
* Mike Ounsworth
* マイク・オンスワース
* Lucas Pardue
* ルーカス・パルド
* Matt Peterson
* マット・ピーターソン
* Eric Rescorla
* エリック・レスカラ
* Justin Richer
* ジャスティンリッチャー
* Michael Richardson
* マイケル・リチャードソン
* Joe Salowey
* ジョー・サロウィー
* Rich Salz
* リッチゾルツ
* Mohit Sethi
* Mohit sethi
* Rifaat Shekh-Yusef
* rifaat shekh-yusef
* Travis Spencer
* トラビススペンサー
* Nick Sullivan
* ニック・サリバン
* Willy Tarreau
* ウィリー・タロー
* Martin Thomson
* マーティン・トムソン
* Peter Wu
* ピーター・ウー
* Hans Zandbelt
* ハンス・ザンドベルト
Brian Campbell
Ping Identity
Email: bcampbell@pingidentity.com
Mike Bishop (editor)
Akamai
Email: mbishop@evequefou.be