RFC 9449 クイズ

**解説:** A: resource serverはaccess tokenを引き続き受け取る. B: presenterがprivate keyを持たなければcopied tokenだけでは不十分になる. C: DPoPはpresentationをconstrainするがauthorization scopeを拡大しない.

**解説:** A: embedded public keyはregistered client identityへ自動的にbindされない. B: token-endpoint DPoP proofはaccess tokenなしでも存在しproof validityはclient authenticationではない. C: 追加のOAuthとapplication checkがclient identityとpermitted actionを確立する.

**解説:** A: algはasymmetric, supported, registeredでlocal policyにacceptableである必要がある. B: none algorithmは明示的にdisallowされる. C: DPoPはasymmetric signatureを要求しjwkにprivate keyを含めてはならない.

**解説:** A: base DPoPはwhole-message integrityを提供しない. B: htmとhtuがproofをmethodとURIへbindし他claimがtimeとuniquenessを提供する. C: ath claimはtokenをbindするがmethodとURIもcoverされる.

**解説:** A: athはsigned proof内のhash bindingでtoken encryptionではない. B: TLS server identity selectionはath claimの外である. C: token hashによりcaptured proofへ別tokenをsubstituteするのを防ぐ.

**解説:** A: これらのcheckでsigned JWTをcurrent requestとaccess tokenへbindする. B: jti uniquenessだけではmethod, URI, token, time, keyへbindできない. C: DPoPのrequired claimにはmandatoryなvalidation semanticsがある.

**解説:** A: kidはkey identifierでnonce claimではない. B: serverがnonceをprovideした場合proofはsigned payloadでechoする必要がある. C: new server nonceによりcurrent valueを持たないproofのreuseを防ぐ.

**解説:** A: token自体は送信されathはchannel confidentialityを提供しない. B: non-extractable keyはserverをauthenticateせずHTTP exchangeをencryptしない. C: RFC 9449はDPoPを追加controlとして扱いtransport substituteとはしない.

**解説:** A: DPoP対応serverはbound tokenをBearerとして受理しkey proofをbypassしてはならない. B: lifetime validityだけではtokenのsender constraintを満たさない. C: resource serverはauthorization serverのtoken bindingを書換えられない.

**解説:** A: token-only useの防止がsender constrainingのprincipal benefitである. B: non-extractable keyはexportに耐えてもclient内実行codeによるmalicious useは防げない. C: DPoPはTLS server authenticationをdisableしない.