idbok

Appearance

OpenID Foundation Shared Signals WG 活動レポート (2024 年 5 月) ​

執筆日: 2026-05-21（2024 年 5 月分の遡及レポート、University of Stuttgart のセキュリティ分析が SSF 仕様に流入し始めた月）

1. 概要 ​

Shared Signals Working Group（以下 SSF WG、旧称 RISC WG）は、ゼロトラスト・継続的アクセス評価のための非同期セキュリティイベント共有プロトコル（SSF / CAEP / RISC）を策定する OpenID Foundation のワーキンググループである。月内の定例 WG コール（火曜 10am PT、本月は週次運用）は Atul Tulshibagwale (SGNL) が司会し、Shayne Miel (Cisco)・Sean O'Dell (Disney)・Tim Cappalli (Okta) のエディタ陣に加え、Jen Schreiber (Workday)・Apoorva Deshpande (Okta)・Stan Bounev (VeriClouds)・Yair Sarig (VMware)・Steve Venema らが主要参加者として議論に常駐していた。主要成果物は openid/sharedsignals リポジトリで管理されている 3 仕様 (SSF / CAEP / CAEP Interoperability Profile)。

2024 年 5 月は 「Implementer's Draft 3 (ID-3) を 6/15 に release する」目標の確定と、その逆算に従ったセキュリティ論点・周辺仕様改訂作業の開始月 にあたり、活動は以下の 4 軸で整理できる:

  • University of Stuttgart の形式的セキュリティ分析成果の流入: Pedram Hosseyni (University of Stuttgart) が 5/7 に Issuer Mix-Up / Stream Audience Mix-Up / Attacker Stream Subject Insertion の 3 件の mix-up 攻撃系 Issue (#160 / #161 / #162) を一度に起票。さらに Shayne Miel が 5/14 に Initial security audit feedback (#166) として HTTPS 必須化・SET 配信路の機密性整理を起票し、いずれも vID-03 ラベル（v3 cutoff 必達）が付与された。これらが 6 月にマージされる normative テキスト改訂の起点となる
  • 「6/15 に SSF Draft 3 を release する」目標スケジュールの確定: 5/14 コールで Shayne Miel が 「get to a draft 3 by June 15」（議事録 2024-05-14 より）と表明。SSF v1 仕様を年内に Final 化するうえでのマイルストーンを Implementer's Draft 候補 3 仕様の公開ベースに置く逆算スケジュールが共有された
  • 「SET 1 件あたりイベント 1 個」「stream の default subject 挙動」「stream / poll への認可必須化」の 3 大論点が本月内で整理: それぞれ Issue #167 / #163 / #160-#162 として記録され、5 月後半の PR #168 (default_subjects) / #173 (stream management API 認可) / #172 (issuer SHOULD 検証) として実装が走り始めた。これらは 6 月にすべてマージされて Implementer's Draft 候補テキストに収束する
  • Identiverse 2024 (Las Vegas, 5/28-31) と SSF Japan ミートアップ (300 名規模): 5/28 の WG コールは Identiverse 会場 (ARIA / Bluethorn 8) でのハイブリッド開催となり、Tim Cappalli (Okta)・Joseph Heenan (Authlete)・Nancy Cam-Winget (Cisco)・Travis Spencer (Curity)・Nafis Zebarjadi (Google)・Naohiro (OIDF Japan) 等の常連以外の参加者が加わった。同コールでは Atul が「日本での SSF 初の meetup に 300 名 (in-person 100 + Zoom 200) が集まり、銀行・通信キャリアからの強い関心が示された」と報告し、東京での将来の Interop イベント開催が提案された

openid-specs-risc ML の本月の人手投稿は 3 件（GitHub bot 通知約 47 件と Mike Leszcz の WG コール招待更新 4 件を除いた数）。Shayne Miel の 4/30 分 Meeting Notes (5/2 配信)、Atul Tulshibagwale の Call notes (5/15、5/14 コール分)、Mike Leszcz の Identiverse Hybrid Meeting 告知 (5/22) で構成され、技術討論の中心は WG コール議事録（HackMD）と GitHub PR/Issue 上に集中していた。

定例 WG コールは月 4 回想定のうち実開催 3 回 (5/14、5/21、5/28)。5/7 は週次運用切替前の隔週スロット休会、5/16 には Mike Leszcz が 「2 週間毎の招待を発行し直したうえで、再度週次運用にする」 旨の calendar invite を 4 連投する運用ドタバタも発生した（ML 001558〜001561）。

2. 公開された仕様・ドラフト改訂 ​

本月時点で main ブランチに対する新規コミットはあったが、いずれも Implementer's Draft 3 候補テキスト（6/17 PR #185 マージで確定）に向けた素材を蓄積する作業であり、公式アナウンスや Public Review 開始等のフォーマルなドラフト改訂イベントは発生していない。

2.1 5 月にマージされた PR ​

PR は計 5 件マージ、5 件起票後 6 月マージ持ち越し。月内マージ分は editorial 系・低リスクなクリーンアップが中心で、normative な変更は 6 月マージへ送られた:

日付PR内容author
2024-05-14#165 merge複数 issue (#132 / #139 / #144 / #147 / #153) の typo / references 一括修正Shayne Miel
2024-05-16#170 mergestream configuration の各フィールドへ OPTIONAL / REQUIRED 区分を明示Shayne Miel
2024-05-17#169 mergeeditorial: 用語の casing 標準化と typo 修正Jen Schreiber
2024-05-24#175 mergestream/status レスポンスへ stream_id を追加Shayne Miel
2024-05-26#176 mergeexamples の subject / sub_id 整合性の更新と CAEP example の修正Shayne Miel
2024-05-26#177 mergeStream Updated イベント送信に関する記述の表現整理Shayne Miel

PR #165 のマージにより Issue #132 / #139 / #144 / #147 / #153 が 5/14 に一斉クローズされた。これは ML 001546〜001550 の連続クローズ通知に対応する。

2.2 5 月起票で 6 月以降マージへ持ち越された主要 PR ​

normative な変更を含む PR は本月内には決着せず、5/21 コールの議論を経て 6 月前半に集中マージされる:

起票日PR内容authorマージ
2024-05-16#168Issue #163 対応: TCM に default_subjects (ALL / NONE) を追加し、subject 未追加 stream の挙動を明示Shayne Miel2024-06-13
2024-05-23#172Issue #162 対応: Receiver による iss 値検証 SHOULD 規定を追加Shayne Miel2024-06-10
2024-05-23#173Stream Management API への認可必須化文言を追加Shayne Miel2024-06-10
2024-05-24#174Issuer information の Receiver 検証要件を補強する文章を追加Shayne Miel2024-06-06

これらはいずれも 5/21 コールで議論された 「Stream API と Poll endpoint に authorization 必須要件を入れるべきか」「Receiver 認証を仕様レベルで強制するか」 の論点に対する Shayne Miel 主導の実装で、5/23-24 の集中起票が 6/10 前後の一斉マージにつながった。

2.3 公開仕様ドラフトの状態 ​

5 月時点の Implementer's Draft 公開状況は以下:

  • SSF (Shared Signals Framework): 既存 Implementer's Draft (ID-2) のみ。Draft 3 候補は 6/17 確定予定の段階で、本月は normative な改訂 PR が積まれていく途中
  • CAEP (Continuous Access Evaluation Profile): 既存 Implementer's Draft 2 のみ。CAEP Session Established Event (PR #154、4 月起票) が引き続きレビュー中で、5/21 コールで Atul が「version bump を伴う normative change」として再レビューを要請
  • CAEP Interoperability Profile: Editor's Draft 段階。OAuth 詳細・Interop イベント要件取り込みは 6 月以降

3. ミーティングと議論 ​

5 月の WG 定例コールは 3 回開催 (5/14、5/21、5/28)。議事録はすべて github.com/openid/sharedsignals/wiki/Meetings からリンクされた HackMD ページに公開されている。なお冒頭の 5/7 スロットは隔週運用下で休会、5/14 コールで Atul が週次運用への切替を提案したものの結論は持ち越しとなり、5/16 の Mike Leszcz による calendar invite 連投 (ML 001558〜001561) を経て実運用として週次へ切り替えられた。

3.1 2024-05-14 定例 WG コール ​

参加者: Atul Tulshibagwale (SGNL)、Shayne Miel (Cisco)、Chelsea Munk、Alex Ilie (VeridiumID)、Jay Leslie、Jen Schreiber (Workday)、Mohammad、Sean O'Dell (Disney)、Steve Venema、Todd Meyer、Yair Sarig (VMware)（議事録 HackMD 2024-05-14 より）。ID-3 を 6/15 に release する目標 が明示された節目のコール。

主要議論:

  • SSF v1 年内完成と ID-3 release 目標 6/15 確定: Shayne Miel が 「get to a draft 3 by June 15」（議事録 2024-05-14 より）と表明。SSF v1 Final を年内に出すためには ID-3 release が必須で、そのための逆算スケジュールが共有された。Atul が 「Should we move to a weekly cadence until we have 1.3」（議事録 2024-05-14 より）と隔週→週次への切替を提起したが本コール内では結論を持ち越しとなり、後の Mike Leszcz による calendar invite 連投で実運用として週次へ切り替えられた

  • University of Stuttgart 監査結果からの normative 変更必要性: Stuttgart 研究者から提起された 「stream creation lacks mandatory authorization requirements, potential gaps when allowing anonymous subject additions, and the need for clearer specification of transmitter default behaviors」 (議事録 2024-05-14 より) の 3 論点が共有され、normative テキスト改訂の枠組みが確認された

  • Complex Subject 仕様明確化: 複数 subject member の意味について 「AND 条件」 を明示すべきとの提案、および wildcard 挙動の仕様化要求。Section 3.3.1 の語法不明確性が指摘され、Sean O'Dell が clarification PR の起票を引き受けた

  • 「SET あたりイベント 1 個」論点 (Issue #167 の原点): Section 10.1.7 の 「複数 URI を 1 SET 内に持てるかどうか」 が confusing と指摘され、「one event per events claim」 を仕様レベルで明示する方針で合意。Jen Schreiber が PR ドラフト担当に。直後 (5/14 17:51 UTC) に Shayne Miel が Issue #167 を起票

  • txn claim を MUST にするか OPTIONAL にするか: Sean O'Dell が 「optional として、重複イベント処理防止と Transmitter-Receiver 間連鎖 transaction の追跡用途に使うべき」 と主張。「OPTIONAL のまま据え置き」で合意し、Sean が PR ドラフト担当に

  • アクションアイテム:

    1. Atul: Transmitter default 挙動を示す metadata configuration parameter（後の default_subjects）について Mike L と新規 invitation を調整
    2. Jen Schreiber: 「1 SET = 1 event」の PR ドラフト
    3. Sean O'Dell: txn claim 関連 PR ドラフト、および Section 3.3.1 complex subjects の語法整理

3.2 2024-05-21 定例 WG コール ​

参加者: Steve Venema（Microsoft 転職中）、Atul Tulshibagwale (SGNL)、Shayne Miel (Cisco)、Stan Bounev (VeriClouds)、Yair Sarig (VMware)、Sean O'Dell (Disney)、Jen Schreiber (Workday)（議事録 HackMD 2024-05-21 より）。Stuttgart Issue 群を仕様にどう反映するかを掘り下げた回。

主要議論:

  • RISC 仕様の SSF 整合性更新: Stan Bounev が SSF 側の multi-stream 機能追加に言及し、Steve Venema が 「RISC を新 SSF に揃えて更新すべき」 と提案。Shayne が「subject field の location/name 変更は既存 PR で対応中」と応答

  • Issue #167 (One Event Per SET) の落としどころ議論: Jen Schreiber が 「既存実装は events claim JSON object 内のどこで event URI を探すのか」 という実装互換性問題を提起。Sean O'Dell が 「If you take the SET spec out of the equation and look at other data structures, such as Kafka queues, it's one-to-one」 （議事録 2024-05-21 より）と他データ構造との類比を示し、最終的に 「SSF コア仕様ではなく Interoperability spec 側で規定する」 で合意。Issue #167 自体は SSF コア改訂を要しないため 6/13 のクローズへとつながる

  • PR #168 (default_subjects) の言語明確化: Atul Tulshibagwale が PR 中の文言で混乱した点を共有し、討議で解消。具体的には default_subjects の "ALL"/"NONE" の語義が 「stream の挙動」に対するものであることを明示する 形にリネーム / 表現整理する方向で合意

  • Stuttgart Issue #160-#162 への対応方針確定: 二つの主要問題が同定された:

    • 「Stream API lacks authorization requirements」（議事録 2024-05-21 より）
    • 「Poll endpoint similarly lacks authorization」（同上）

    Yair Sarig が 「If you don't specify authorization, any implementation will be insecure」 （議事録 2024-05-21 より）と原則論を打ち出し、対応方針は以下の二段構えで合意:

    • SSF コア仕様: 代替信頼メカニズムが無い限りエンドポイント認証を mandate する
    • Interoperability 仕様: 特定エンドポイントに対する具体的な authorization type を規定

    Shayne Miel は 「stream creation / stream operations / SET delivery」 の 3 カテゴリにエンドポイントを分類して個別に要件設計することを提案

  • CAEP Session Established Event (PR #154) 再レビュー要請: Atul が PR レビュー要請。Shayne が「これは CAEP の version bump を伴う normative change か?」と確認し、Atul が肯定。これが後の CAEP Draft 3 の目玉機能 (session-established / session-presented) の素地となる

  • 次週 5/28 の Identiverse ハイブリッド開催確認: Shayne が 「OpenID room を確保し、通常の WG 時間帯を維持してオンライン参加も可能にする」 と提案。Mike Leszcz との room logistics 調整を引き受けた

3.3 2024-05-28 定例 WG コール (Identiverse 2024 ハイブリッド) ​

開催: 火曜 10-11am PT、Las Vegas ARIA / Bluethorn 8（expo と同じフロア） + Zoom（ML 001566 で Mike Leszcz が周知）。参加者: Tim Cappalli (Okta)、Shayne Miel (Cisco)、Atul Tulshibagwale (SGNL)、Apoorva Deshpande (Okta)、Nancy Cam-Winget (Cisco)、Joseph Heenan (Authlete)、Naohiro (OIDF Japan)、Travis Spencer (Curity)、Jen Schreiber (Workday)、Nafis Zebarjadi (Google)、Domingos (OpenID Foundation)（議事録 HackMD 2024-05-28 より）。Identiverse 期間中のハイブリッド開催で、通常コール参加者層を超えた顔ぶれが集まった。

主要議論:

  • SSF Japan ミートアップ報告 (Atul): 「First Shared Signals Framework meetup in Japan with 300 participants (100 in-person, 200 via Zoom)」（議事録 2024-05-28 より）と Atul が報告。論点は FIDO 統合・logout 実装・相互運用性 の 3 つに集中。主要邦銀・通信キャリアからの実装関心が示され、東京で Interop イベントを開催することが採用加速のレバーとして提案された。これが後の 6/4 コールで報告される「Webex の SSF 採用関心 (SCIM と並走)」と連動する前史

  • JSON Schema ベースのイベント定義 (Issue #158) 提案掘り下げ: 既存の 「formal spec language で event を定義する」 方式から 「event ごとに独立した JSON schema ファイルで定義し、event URI から参照する」 方式への移行提案。利点として:

    • イベント単位の versioning がメイン仕様から切り離せる
    • 新規 event 追加のプロセスが軽量化
    • 開発者からのアクセス性向上
    • 後方互換性の維持

    論点として: event URI から schema ファイルへの参照解決、landing page の必要性（machine-readable 化の是非）、GitHub source への path mapping、URI 内 versioning、event ごとの独立 versioning が議論された。アクションアイテム: Apoorva Deshpande と Jen Schreiber が JSON schema アプローチを記述した仕様ドラフトを起こす。これが後の 8/13 コールで Jen が正式提案する「JSON Schema for Events イニシアチブ」の出発点となる

  • Certification timeline: Interoperability 仕様の certification 開始目標を 「Q4 2024 (best case) 〜 Q1 2025 (worst case)」（議事録 2024-05-28 より）と確認。Certification team は SSWG interop profile 公開待ちでテスト開発を進行中。Transmitter / Receiver 別の certification role 設計も検討されている

  • txn claim フォローアップ: Atul が SSF spec への txn claim 追記を Sean と詰めるアクションを引き受け。これが 6/11 にマージされる PR #180 への直接の流れとなる

  • アクションアイテム:

    1. Tim Cappalli: RISC example 追加
    2. Apoorva Deshpande & Jen Schreiber: JSON schema アプローチ仕様化
    3. Atul Tulshibagwale: Sean と SSF への txn claim 追加をフォロー

3.4 直前の 4/30 コール議事録の 5/2 ML 共有 ​

5/2 に Shayne Miel が ML 001532 で 4/30 コールの Meeting Notes を共有。「Transmitter が default で全 subject 送信か、Receiver の明示的リクエストを要求するか」 の論点（security: default closed vs implementation ease: default open）が結論未確定として持ち越されており、これが 5/9 起票の Issue #163 と 5/16 起票の PR #168 (default_subjects) に直接つながる。5 月の議論の出発点として位置付けられる。

4. メーリングリストの主要スレッド ​

openid-specs-risc ML のアーカイブは週次インデックス形式で提供されている。2024 年 5 月の状況:

アーカイブ週投稿数主な内容
Week-of-Mon-202404292Shayne Miel の 4/30 コール Meeting Notes (5/2)、Issue #158 への GitHub bot comment 1 件
Week-of-Mon-2024050611GitHub bot 通知のみ（Issue #160 / #161 / #162 / #163 / #164 起票通知、Issue #128 / #150 への comment、Issue #150 close）
Week-of-Mon-2024051322Atul の 5/15 Call notes 1 件、Issue #132 / #139 / #144 / #147 / #153 一斉 close 通知、Mike Leszcz の calendar invite 4 連投、Issue #166 / #167 起票通知
Week-of-Mon-2024052014Mike Leszcz の 5/22 Identiverse Hybrid Meeting 告知、PR #172 / #173 / #174 / #175 / #176 / #177 起票通知、Issue #37 / #128 / #135 / #141 close
Week-of-Mon-202405273Issue #158 関連 comment 2 件と取り下げ 1 件

人手投稿 3 件すべてが運営・議事録共有系で、技術討議の中心は WG コール議事録と GitHub PR 上に集中していた。本月の主要スレッドとして以下を取り上げる。

4.1 Meeting Notes for 04/30/2024 - Shayne Miel, 2024-05-02 ​

4/30 コールの議事録 ML 共有版。5 月議論の出発点として参照価値が高く、以下の論点が整理されている:

  • PR #134 (Interoperability への OAuth 詳細取り込み) の再レビュー必要性: 当時はまだ outstanding。最終的に 6/10 マージ
  • Issue #150 (well-known to IANA) の対応完了報告
  • txn claim を SET に取り込む方針整理: SET 仕様にすでに存在する claim だが、実装者の便宜のため SSF/CAEP/RISC 側に明示的に文書化する方針で提案ドラフトを作る合意
  • SCIM Events と SSF の関係: SCIM WG は 「SCIM events を SSF に統合せず別途維持する」 意向を示し、SCIM 側でドラフト仕様の採用に消極的との状況共有
  • Subject Subscription Defaults の未決議: 「Transmitter が default で全 subject 送信するか、Receiver の明示的リクエストを要求するか」（security closed vs implementation ease open）が未解決として明示。後の Issue #163 / PR #168 への直接の伏線

4.2 Call notes - Atul Tulshibagwale, 2024-05-15 ​

5/14 コールの議事録 ML 共有版。「6/15 ID-3 release 目標」 が ML 上に初めて明文化された投稿として価値が高い。要点:

  • SSF v1 を年内 (year-end) に Final 化する目標を達成するため、Draft 3 (ID-3) を 6/15 に release する逆算スケジュールを共有
  • Stuttgart 監査結果の normative 反映必要性（特に stream creation の認可、anonymous subject 追加への対処、Transmitter default 挙動の明示）
  • Complex subject の AND 条件明示、wildcard 挙動、Section 3.3.1 の語法整理
  • 「1 SET = 1 event」を仕様化する方向で合意
  • txn claim は OPTIONAL のまま据え置き
  • アクション分担（Atul: Mike L と invite 調整、Jen: 1 event/SET の PR、Sean: txn PR と Section 3.3.1 整理）

4.3 Shared Signals WG Hybrid Meeting at Identiverse - Mike Leszcz, 2024-05-22 ​

5/28 (Tue) 10-11am PT の WG コールを Identiverse 2024 会場の ARIA / Bluethorn 8（expo と同じフロア）でハイブリッド開催する旨の告知。「会場参加と通常の WG Zoom session 両対応で、時間は維持」 とアナウンス。これにより通常コール参加者層を超えた顔ぶれ（Joseph Heenan / Naohiro / Travis Spencer / Nafis Zebarjadi 等）が集まる結果となった。

4.4 Mike Leszcz による calendar invite 4 連投 (5/16-5/17) ​

5/16 (ML 001558〜001560) と 5/17 (001561) にかけて Mike Leszcz が WG コール用の calendar invite を 4 通連続で発行。Canceled meeting → Updated meeting invitation (bi-weekly schedule) → Updated meeting invitation (bi-weekly variant) → Updated meeting invitation with note (weekly schedule) と内容を変えての連投で、5/14 コールで合意された 「ID-3 完成まで週次運用」 への切替を反映するための運用ドタバタを示すものだった。後の 6/24 ML 001617 の「No meeting tomorrow, June 25th」（隔週への再切替時の calendar invite 二重発行問題）と同種の運用課題の初回事例。

5. GitHub 上の議論 ​

openid/sharedsignals リポジトリの 2024 年 5 月の活動:

  • Issue 新規起票: 8 件 (#160, #161, #162, #163, #164, #166, #167, #171)
  • Issue クローズ: 9 件 (#37, #128, #132, #135, #139, #141, #144, #147, #150, #153 のうち月内クローズは #128, #132, #135, #139, #141, #144, #147, #150, #153)
  • PR 新規起票: 10 件 (#165, #168, #169, #170, #172, #173, #174, #175, #176, #177)
  • PR マージ: 6 件（#165, #169, #170, #175, #176, #177）。残り 4 件 (#168, #172, #173, #174) は 6 月マージへ持ち越し
  • main ブランチへの新規コミット: 月内 6 件（マージ済み PR 分）

特に議論・後続影響が大きかった 5 つの item を取り上げる。

5.1 openid/sharedsignals#160 / #161 / #162 — University of Stuttgart Mix-Up 攻撃 3 件 一括起票 ​

  • author: PedramHD (Pedram Hosseyni, University of Stuttgart)
  • 起票: 2024-05-07（3 件すべて同日）/ クローズ: 2024-06-10（3 件とも）
  • 全件に spec:SSF / sec-analysis / vID-03 ラベル

University of Stuttgart の Institute of Information Security による SSF 形式的セキュリティ分析の最初の成果が一括起票された。各 Issue の攻撃シナリオ:

  • #162 Issuer Mix-Up: 攻撃者と honest Receiver がそれぞれ Transmitter から異なる audience identifier (u_r, u_att) を持つ configuration を取得する状況で、攻撃者が自身の audience 値を含む configuration を Receiver の configuration request に対するレスポンスに混ぜ込み、Receiver が誤った configuration を保持したまま honest Transmitter からの SET (攻撃者の audience claim 付き) を受理してしまう攻撃。Receiver が stream configuration の取得元と SET の iss 値の整合性を確認する 要件（後に PR #172 / #174 の SHOULD 規定として実装）
  • #161 Stream Audience Mix-Up: SSF 仕様が Receiver の Transmitter 側認証を要件化していないことを利用し、攻撃者が他 Receiver の audience identifier で stream を作成して SET を奪取する攻撃。「the SSF specification has no requirements on authentication of the Receiver at the Transmitter」（Issue #161 本文より）。提案修正は 「mandate authentication at the management API, i.e., the Transmitter would use the authenticated identity value as the audience of the SET」（同上）（後に PR #173 で実装）
  • #160 Attacker Stream Subject Insertion: 攻撃者が honest Transmitter に対する Receiver、honest Receiver に対する Transmitter として振る舞う mix-up で、Receiver の subject を攻撃者の stream に追加させる攻撃。「an attacker might receive SETs for subjects without being authorized to access information on these subjects」（Issue #160 本文より）。提案修正は (1) stream 作成と subject 追加を同一エンティティが行うことを保証する proof-of-possession / 認証、(2) issuer identifier ベースの subject 選択

これら 3 件と #166 (5/14 起票) は 「v3 cutoff 6/15 必達」 ラベルが付与され、5/21 コールでの「Stream API / Poll endpoint への authorization 必須化」「Receiver 認証 mandate」議論の直接の動機となった。本月内には未クローズで、6/10 一斉解決に持ち越されたが、対応 PR (#172, #173, #174) は本月末までに起票完了。

5.2 openid/sharedsignals#163 — Specify expected default behavior of streams with no subjects ​

  • author: FragLegs (Shayne Miel)
  • 起票: 2024-05-09 / クローズ: 2024-06-13（PR #168 マージ）
  • documentation / spec:SSF / vID-03 ラベル

本文 (Issue #163 より): 「On a recent WG call, we had a long discussion about the expected behavior of a stream that has not had any subjects added yet. The conclusion was that, by default, a Transmitter should not send any events until a matching subject has been added to the stream. We need to update the spec to indicate this default behavior.」

4/30 コールで決着しなかった 「Subject 未追加 stream の default 挙動」 を仕様化する起点 Issue。5/16 に Shayne Miel が PR #168 を起票し、TCM に default_subjects フィールド (ALL / NONE、default は NONE) を追加する設計を提示。5/21 コールで Atul が「PR の文言で混乱した」点を共有し、討議で 「stream の挙動に対する値名としてリネーム / 明確化する」 方向で合意。6/11 コールで TCM のみ配置とすることで再合意され、6/13 にマージ → Issue クローズ。本月時点ではまだ未解決のまま 6 月へ持ち越された。

5.3 openid/sharedsignals#167 — Clarify that only one event is allowed per SET ​

  • author: FragLegs (Shayne Miel)
  • 起票: 2024-05-14 (5/14 コール直後の 17:51 UTC) / クローズ: 2024-06-13
  • spec:SSF / vID-03 ラベル / 5 comments

本文 (Issue #167 より): 「During the 5/14/24 WG meeting we discussed the need to clarify that only one event (key/value pair in the events claim) is allowed per SET.」

5/14 コールで議論された Section 10.1.7 の不明確性（複数 URI を 1 SET 内に持てるかが confusing）への対応 Issue。5/21 コールで Jen Schreiber が「既存実装の互換性」を懸念し、Sean O'Dell の Kafka queue 類比（「one-to-one」）を経て 「SSF コア仕様ではなく Interoperability spec 側で one event per SET を規定する」 で合意。コア仕様改訂を要しないため Issue は 6/13 にクローズされ、Interop Profile 側で PR #179 (Jen Schreiber、6/10 マージ) として実装された。

5.4 openid/sharedsignals#166 — Initial security audit feedback ​

  • author: FragLegs (Shayne Miel)
  • 起票: 2024-05-14 / クローズ: 2024-06-06（PR #174 マージで対応完了）
  • bug / spec:SSF / vID-03 ラベル

Stuttgart 監査と並走する形で Shayne Miel が起票したセキュリティ監査フィードバック集約 Issue。本文 (Issue #166 より) の主要勧告は以下:

  • Issuer Identifier 検証: Receivers should obtain issuer identifiers from trusted sources and 「verify that these issuer identifiers use the https scheme」 to prevent man-in-the-middle attacks
  • Stream Configuration Management の HTTPS 必須化: stream management API endpoints と JWKs endpoints について HTTPS を mandate（SET delivery methods で既に必要とされる要件と整合化）
  • SET 配信路の機密性・完全性確保: SET delivery methods を TLS 保護された接続に制限し、unprotected な代替を許さない

これらの整理が PR #174 (Issuer information validation、6/6 マージ) として実装され、Implementer's Draft 候補の HTTPS / TLS 要件確立に直結した。

5.5 openid/sharedsignals#164 — Scanning for RISC API transmitters ​

  • author: jleslie-EDC (Jay Leslie, Easy Dynamics)
  • 起票: 2024-05-10 / 状態: open のまま
  • enhancement ラベル

実装者視点での enhancement 提案。RISC API を提供する Transmitter を発見・スキャンする方法（discovery メカニズム）を仕様化したいというもの。本月時点では議論が深まらず、vID-03 等の cutoff ラベルも付与されなかったため Implementer's Draft 候補のスコープ外として扱われた。本月以降も継続して open のまま残置（v1 Final 化後の課題候補）。

6. 関連イベント ​

6.1 Identiverse 2024 (2024-05-28〜2024-05-31, Las Vegas) ​

5/28-31 に Las Vegas (ARIA) で開催された Identity 領域最大級カンファレンス。SSF WG はその初日 (5/28) 10-11am PT を ARIA / Bluethorn 8 での hybrid 定例コール開催に充てた（ML 001566 で Mike Leszcz が周知）。これにより Joseph Heenan (Authlete)・Travis Spencer (Curity)・Nafis Zebarjadi (Google)・Naohiro (OIDF Japan) など普段のコールには出ない vendor / 地域代表が議論に加わり、特に JSON Schema for Events 提案（Issue #158）と SSF Japan ミートアップ報告で多角的な視点が得られた。Identiverse 全体としては SSF/CAEP 関連の登壇は OpenID Foundation セッション枠で取り扱われたが、本 WG の議事録には会場登壇の詳細は記録されていない。

6.2 SSF Japan ミートアップ (300 名規模) ​

5/28 コール議事録の Atul 報告によれば、Shared Signals Framework Japan ミートアップ が日本で初めて開催され、in-person 100 名 + Zoom 200 名の合計 300 名規模 で関心が集まった。論点は (1) FIDO 統合、(2) logout 実装、(3) 相互運用性 の 3 点に集中し、邦銀・通信キャリアからの強い実装関心が示された。Atul は東京での将来の Interop イベント開催を採用加速策として提案している。具体的開催日や主催者の特定は議事録上では明らかにされていないが、5 月後半から 6 月初頭にかけての SSF コミュニティのアジア展開の起点となるイベントだった。

6.3 University of Stuttgart のセキュリティ分析活動 ​

5/7 の PedramHD による Issue #160 / #161 / #162 一括起票は、Stuttgart Institute of Information Security による SSF 形式的セキュリティ分析の最初の成果報告にあたる。同大学は FAPI 仕様の形式的セキュリティ分析でも先例があり（Open Finance Brazil / オーストラリア政府の funding で実施）、SSF にもその方法論が適用された形。本月の起票が 6 月の Implementer's Draft 候補テキストへの normative 改訂に直結した。

7. 今後の予定 (2024 年 5 月末時点の視点) ​

5 月末時点（当時の視点）で予定されていた次月以降の動き:

  • 2024-06-15 目標: SSF Implementer's Draft 3 候補テキスト確定: 5/14 コールで Shayne Miel が表明した「get to a draft 3 by June 15」目標に向けた最終調整。Stuttgart Issue #160 / #161 / #162、Initial security audit #166、Issue #163 (default_subjects)、Issue #167 (one event per SET) の解決が必須
  • PR #168 (default_subjects) / #172 (issuer SHOULD 検証) / #173 (stream management 認可) / #174 (issuer information validation) の 6 月初頭マージ: 5 月末時点で起票完了済み。6/4・6/11 コールでの最終議論を経て 6 月前半に集中マージ予定
  • CAEP Session Established Event (PR #154) の 6 月決着: 5/21 コールで Atul が再レビュー要請。CAEP version bump を伴う normative change として処理
  • CAEP Interoperability Profile への OAuth 詳細取り込み (PR #134): 4/30 コールで outstanding として整理。6/10 マージ予定
  • JSON Schema for Events (Issue #158) ドラフト化: 5/28 コールで Apoorva Deshpande と Jen Schreiber が担当に。中長期的なイベント定義方式刷新の候補
  • txn claim の SSF/CAEP/RISC 横断ドキュメンテーション: 5/28 コールで Atul が Sean とのフォロー担当に。後の PR #180 (Sean O'Dell、6/11 マージ) で実装
  • Q4 2024 〜 Q1 2025: Interoperability spec certification 開始目標: 5/28 コールで共有
  • 2024-12: Gartner IAM Summit での第 2 回 Interop Event 開催: 5 月時点ではまだ公式アナウンス前段階（6/11 コール議事録で逆算スケジュールの基準として明示される）
  • WG コール運用: ID-3 完成まで週次運用を継続。完成後は隔週運用に戻す方針

8. 参考情報源 ​

議事録 ​

  • Shared Signals WG Meetings Wiki — 定例コール議事録一覧
  • WG Meeting 2024-05-14 (HackMD) — 6/15 ID-3 release 目標確定、Stuttgart 監査論点共有、1 event per SET 議論、txn claim OPTIONAL 据え置き
  • WG Meeting 2024-05-21 (HackMD) — Issue #167 を Interop 側で対応決定、Stream API / Poll endpoint への authorization 必須化方針、Yair Sarig の「If you don't specify authorization, any implementation will be insecure」発言
  • WG Meeting 2024-05-28 (HackMD) — Identiverse ハイブリッド開催、SSF Japan ミートアップ 300 名報告、JSON Schema for Events 提案掘り下げ、Certification timeline Q4 2024〜Q1 2025 確認

メーリングリスト ​

GitHub ​

公式・関連情報 ​