Implementação de software para demonstração de prova de posse em serviços Web.

Abstract

Protocolos e mecanismos de Autenticação, Autorização e Auditoria (AAA) são utilizados em sistemas computacionais para garantir a integridade e o não repúdio em rotinas de troca de informação. Demonstração de prova de posse busca evitar a utilização de informações, roubadas ou vazadas, por entidades ilegítimas. Um contexto das áreas de criptografia e sistemas computacionais é apresentado junto de dois dos padrões de autorização utilizados atualmente. O mecanismo apresentado no RFC 9449 é objeto de estudo deste trabalho. Uma análise de requisitos é conduzida com base na especificação do mecanismo contido no RFC 9449. Algumas das funcionalidades do mecanismo são implementadas e validadas por meio de testes automatizados. Para inviabilizar token replay attacks e token export attacks são implementados, respectivamente, um método para geração de nonces e um método para a obtenção do jkt de uma chave pública. Em relação ao fluxo representado na figura 1 do RFC 9449, têm-se que é possível construir requisições por tokens de acesso utilizando provas DPoP. A validação das reivindicações de um DPoP-Proof JWT não é possível de ser realizada de forma programática pela implementação elaborada.