OAuth 2.0 アプリケーション層におけるProof-of-Possession（DPoP）の実証（2023）
本仕様書は、OAuth 2.0におけるDPoP（Demonstrating Proof-of-Possession）プロトコルを定義する。DPoPにより、アクセストークンが不正に取得された場合でも、そのトークンを保持するクライアントが当該トークンに関連付けられた鍵ペアの秘密鍵を実際に所有していることを証明できるため、トークンのリプレイ攻撃を防止できる。これにより、OAuthのセキュリティを強化し、Bearerトークンに伴うリスクを軽減する。
背景メモ
OAuth 2.0は、ウェブサービス間での認可（アクセス権限の委譲）を実現する業界標準プロトコル。従来のOAuthでは、アクセストークン（認可の証）をクライアント（アプリ）に発行し、それをリソースサーバー（API）に提示する方式をとる。しかし、トークンが漏洩すると、第三者がそのまま悪用できる「ベアラートークン」方式である点がセキュリティ上の弱点だった。