ToppyMicroServices

RFC 9700 クイズ

現在のOAuth threat mitigationとdeployment判断

🇺🇸🇯🇵
0 / 0

参照仕様

Q1: authorization serverはregistered redirect URIとrequest valueをどう比較すべき?

単一選択
**解説:** A: exact matchingでattacker-controlledなURI variationへのauthorization response送信を防ぐ. B: domain-level matchingは広すぎattacker-controlled hostやpathを含みうる. C: substring comparisonは意図しないredirect targetを受理する.

Q2: authorization code flowでPKCEが重要な理由はどれ?

単一選択
**解説:** A: PKCEはcode redemptionをverifierへbindするものでstorage encryptionではない. B: interceptされたcodeは対応するcode verifierなしではredeemできない. C: PKCEとexact redirect matchingは別のattack pathを扱い両方必要である.

Q3: Resource Owner Password Credentials grantに対するRFC 9700の立場はどれ?

単一選択
**解説:** A: browser constraintでcredential exposureやphishing riskは消えない. B: refresh-token lifetimeはresource owner passwordの収集を解決しない. C: RFC 9700はcredential exposureとstronger authenticationとの非互換性からこのgrantを禁止する.

Q4: clientが一般にimplicit grant responseを避けるべき理由はどれ?

単一選択
**解説:** A: authorization code flowならstronger bindingとtoken-endpoint protectionを使える. B: response typeだけでtokenがsender-constrainedになるわけではない. C: exact redirect URI checkは両flowで重要である.

Q5: clientがmultiple authorization serverをsupportする. mix-up attackを防ぐcontrolはどれ?

単一選択
**解説:** A: lateかつuntrustedなchoiceはendpointとissuerの関係をattackerに混同させる. B: これらのmechanismでwrong authorization serverからのresponseをdetectできる. C: correlation valueのreuseはresponse-to-request bindingを弱める.

Q6: public clientがrefresh tokenを受け取る. authorization serverはどのreplay defenseを使うべき?

単一選択
**解説:** A: client identifierはsecretではなくrefresh-token replayをdetectしない. B: longいvalidityはtoken theftのharmを増やす. C: これらのmechanismでstolen refresh tokenのreplayをpreventまたはdetectする.

Q7: access tokenをsender-constrainする目的はどれ?

単一選択
**解説:** A: 追加proofによりcopied tokenだけでは不十分になる. B: sender constrainingはTLS confidentialityとserver authenticationをreplaceしない. C: key-bound tokenでもaudience checkを省くとwrong resourceへ提示されうる.

Q8: clientとauthorization serverがopen redirectorを避けるべき理由はどれ?

単一選択
**解説:** A: open redirectはdestination controlの問題でTLS capability limitationではない. B: open redirectはtrusted URIをredirect trampolineへ変えうる. C: client typeとredirect endpointがopenかは独立している.

Q9: validなauthorization codeがwrong clientまたはwrong redirect URIと共に提示された. token endpointはどうする?

単一選択
**解説:** A: scope reductionでは壊れたclientまたはredirect bindingを修復できない. B: token endpointはtoken issue前にinvalid code redemptionをrejectする必要がある. C: authorization codeはauthorization requestで使ったclientとredirect contextへbindされる.

Q10: A2A deploymentはOAuth supportへRFC 9700をどう適用すべき?

単一選択
**解説:** A: unspecifiedなchoiceは非一貫でobsoleteなsecurity profileを生む. B: deployment profileがBCP controlをinteroperableなendpoint behaviorへ落とす必要がある. C: TLSだけではcode injection, mix-up, redirect abuse, stolen-token replayを防げない.