LWS 1.0 인증 스위트: did:key를 사용하는 자체 서명 신원

자체 발행 신원은 애플리케이션이 자신을 대신하여 동작하는 경우에 중요합니다. 여기에는 자율 봇뿐만 아니라 서버 측 스크립트 등이 포함됩니다. 이러한 경우 에이전트는 키 쌍의 비공개 부분을 안전하게 관리할 수 있으며, 이를 사용하여 서명된 JSON Web Token (JWT)을 생성합니다. 이 명세는 이러한 종류의 에이전트가 did:key: 메서드를 사용하는 에이전트 식별자를 사용하면서 Linked Web Storage와 함께 사용할 수 있는 인증 자격 증명을 생성하는 방법을 설명합니다.

비규범으로 표시된 섹션뿐만 아니라, 이 명세의 모든 작성 지침, 다이어그램, 예제 및 참고는 비규범입니다. 이 명세의 그 밖의 모든 내용은 규범적입니다.

이 문서의 핵심 단어 MAY, MUST, 그리고 MUST NOT은 여기에 표시된 것처럼 모두 대문자로 나타날 때에만, BCP 14 [RFC2119] [RFC8174]에 설명된 대로 해석되어야 합니다.

"authorization server"와 "client"라는 용어는 The OAuth 2.0 Authorization Framework [RFC6749]에서 정의합니다.

"JSON Web Token (JWT)"와 "claim"이라는 용어는 JSON Web Token [RFC7519]에서 정의합니다.

"agent", "authentication credential", 그리고 "authentication suite"라는 용어는 Linked Web Storage Protocol [LWS10-CORE]에서 정의합니다.

자체 발행 인증 자격 증명은 서명된 JSON Web Token (JWT)으로 직렬화됩니다. JWT를 LWS 인증 자격 증명으로 사용하려면 다음 추가 요구사항이 적용됩니다.

• JWT는 서명 알고리즘으로 "none"을 사용해서는 MUST NOT 됩니다.
• JWT는 LWS 주체 식별자에 sub (subject) 클레임을 사용해야 MUST 합니다. 주체 식별자는 did:key: URI를 사용해야 MUST 합니다.
• JWT는 LWS 발급자 식별자에 iss (issuer) 클레임을 사용해야 MUST 합니다.
• JWT는 LWS 클라이언트 식별자에 client_id (client ID) 클레임을 사용해야 MUST 합니다.
• sub, iss, 그리고 client_id 클레임은 MUST 모두 동일한 URI 값을 사용해야 합니다.
• ID 토큰의 모든 대상 제한은 aud (audience) 클레임을 사용해야 MUST 합니다. aud 클레임은 대상 권한 부여 서버를 포함해야 MUST 합니다.
• JWT는 토큰이 만료되는 시간을 나타내는 exp (expiration) 클레임을 포함해야 MUST 합니다.
• JWT는 토큰이 발급된 시간을 나타내는 iat (issued at) 클레임을 포함해야 MUST 합니다.

LWS 인증 자격 증명이기도 한 예제 JWT가 아래에 포함되어 있습니다.

{
  "kty": "EC",
  "alg": "ES256",
  "typ": "JWT",
  "crv": "P-256"
}
.
{
  "sub": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv",
  "iss": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv",
  "client_id": "did:key:zDnaerx9CtbPJ1q36T5Ln5wYt3MQYeGRG5ehnPAmxcf5mDZpv",
  "aud": ["https://as.example"],
  "iat": 1761313600,
  "exp": 1761313900
}
.
signature

did:key 메서드를 사용하는 주체 식별자의 경우, 검증자는 "The did:key Method" [did-key] 섹션 3.1.3에 설명된 대로 식별자 자체에서 공개 키를 추출합니다. 이 공개 키를 사용하여 JWT의 서명은 [RFC7515] 섹션 5.2에 설명된 대로 검증되어야 MUST 합니다.

검증자는 인증 자격 증명 데이터 모델이 설명하는 모든 클레임을 검증해야 MUST 합니다.

검증자는 현재 시간이 exp 클레임이 나타내는 시간보다 이전인지 보장해야 MUST 합니다. 구현자는 시계 오차를 고려하기 위해 약간의 허용 오차를 제공할 수 MAY 있습니다.

인증 자격 증명으로 사용되는 자체 발행 JSON Web Token은 권한 부여 서버와 상호 작용할 때 urn:ietf:params:oauth:token-type:jwt URI를 사용해야 MUST 합니다.