idbok

Appearance

OpenID Foundation Shared Signals WG 活動レポート (2024 年 6 月) ​

執筆日: 2026-05-21（2024 年 6 月分の遡及レポート、3 仕様 Implementer's Draft 候補確定と 45 日 Public Review 開始月）

1. 概要 ​

Shared Signals Working Group（以下 SSF WG、旧称 RISC WG）は、ゼロトラスト・継続的アクセス評価のための非同期セキュリティイベント共有プロトコルを策定する OpenID Foundation のワーキンググループである。月内の定例 WG コール（火曜 10am PT、当月前半は週次・6/18 以降は隔週運用に切替）は Atul Tulshibagwale (SGNL) が司会し、Shayne Miel (Cisco)・Sean O'Dell (Disney)・Tim Cappalli (Okta) のエディタ陣に加え、Jen Schreiber (Workday)・Apoorva Deshpande (Okta)・Pedram Hosseyni (University of Stuttgart) ら主要参加者が議論に常駐していた。主要成果物は openid/sharedsignals リポジトリで管理されている 3 仕様 (SSF / CAEP / CAEP Interoperability Profile)。

2024 年 6 月は 3 仕様の Implementer's Draft 候補テキスト確定と Public Review 開始 のクライマックス月であり、活動は以下の 4 軸で整理できる:

  • University of Stuttgart の形式的セキュリティレビューを受けた SSF Draft への取り込み完了: 5 月までに Pedram Hosseyni が起票していた 3 つの mix-up 攻撃系 Issue (#160 Attacker Stream Subject Insertion / #161 Stream Audience Mix-Up / #162 Issuer Mix-Up) と初期セキュリティ監査フィードバック (#166) が、6/6〜6/13 にかけて連続して SSF 仕様にマージされた。iss 値検証の SHOULD 規定追加 (PR #174)、Stream Management API への認可要件追加、Receiver 認証要件の明示など、normative テキストへの重要な改訂が 6 月前半に集中
  • CAEP Session Presented Event の新規追加と txn claim 取り込み: 5/29 以前から議論されていた CAEP 新規イベント session-presented (PR #183) が 6/12 に Atul Tulshibagwale 自身の手でマージされ、CAEP Draft 03 の目玉機能として確定。同時に Sean O'Dell の PR #180 で SET の txn claim をイベント連鎖追跡の用途で全仕様横断的に採用する設計が確定し、Issue #157 が 6/13 にクローズ
  • 3 仕様の Implementer's Draft 候補確定: SSF Draft 03 / CAEP Draft 03 / CAEP Interoperability Profile Draft 00: 6/14 に Atul Tulshibagwale が PR #185 "For vote" を起票し、6/17 にマージ。続く 6/17〜6/26 にかけて版番号修正 (PR #188)、document history 整備 (PR #189)、copyright 修正 (PR #190 / #191) のクリーンアップが行われ、Public Review 投入に耐えるテキストが固められた
  • 6/27 付 45 日 Public Review 開始: OpenID Foundation Board Secretary Marie Jordan 名義で Public Review Period for Three Shared Signals Drafts が公示され、Public Review 期間 (2024-06-27〜2024-08-11) が開始。同時に 7/29 の Notice of Vote 公示、8/5 早期投票開始、8/12〜8/19 公式投票期間という Implementer's Draft 承認スケジュールが確定。WG コールも 6/18 以降は隔週運用 (次回 7/2) に切り替えられた

openid-specs-risc ML の 6 月人手投稿は 4 件（GitHub bot 通知 28 件と WG コール招待更新 3 件を除いた 35 件中 4 件）。内訳は Atul Tulshibagwale の Call notes 2 件（6/11 分、6/18 「Update on new drafts, and call notes」）、Michael Jones による Public Review 開始タイミングへの注意喚起 1 件 (6/18)、Atul Tulshibagwale の隔週切替確認 1 件 (6/24)。Public Review 開始週となる 6/27 前後の ML 投稿は技術議論ではなく GitHub bot 通知のみで、人手による議論は HackMD 議事録と GitHub PR レビューに集中していた。

定例 WG コールは月前半は週次運用で 6/4、6/11、6/18 の 3 回、月後半は 6/25 を休会（隔週切替アナウンス）として 3 回開催された。次回は 7/2 から隔週運用となる。

2. 公開された仕様・ドラフト改訂 ​

2.1 Implementer's Draft 候補ドラフト 3 仕様の確定 (6/17) ​

6/17 に PR #185 "For vote" がマージされ、Implementer's Draft 投票対象テキストが main ブランチに固定された。マージコミット 73afe0b "For vote (#185)" には 「prep for sending to vote」「reverted draft number as per Shayne's observation」「readied for sending to OpenID for review」「updated GitHub workflow to match renamed CAEP spec」「update spec_version in examples」 という 5 件のコミットがまとめられており、ファイル名・タイトル整合性の最終調整と CAEP spec のリネームが含まれている。確定した 3 仕様は以下:

仕様対象ドラフト主な変更点
OpenID Shared Signals Framework SpecificationDraft 03University of Stuttgart 形式的レビューを受けた issuer / audience / subject insertion 系 mix-up 攻撃の修正、txn claim の用法明確化、Transmitter authentication / TLS 必須化、Stream Management API への認可要件追加、default_subjects 設定の追加
OpenID Continuous Access Evaluation ProfileDraft 03session-established / session-presented の 2 新規イベント追加、SSO セッションを device に bind する hijacking 検知用途、impossible travel 検出ユースケースの明示
CAEP Interoperability ProfileDraft 002023 年 3 月 Gartner IAM Summit 初回 Interop の成果を初めて文書化、サポート対象 spec バージョン・API・認可スキーム・イベント型・SET 形式・OAuth 詳細を規定

6/20 には PR #188 で CAEP の版番号が 02 から 03 へバンプされ、6/24〜6/26 にかけて PR #189 / #190 / #191 で document history・copyright・security considerations の整備が完了。6/26 の 417e8e7 "Fix copyright (#191)" を最後に main ブランチへのコミットは Public Review 期間中の凍結フェーズに入った（次のコミットは 8/12 までなし）。

2.2 SSF Draft 03 のセキュリティ改訂 (University of Stuttgart 監査反映) ​

6 月前半に集中マージされた security-related PR / Issue は以下:

日付PR / Issue内容author
2024-06-06#174 mergeReceiver が SET の iss 値を Transmitter URL ベースで検証する SHOULD 規定を追加Shayne Miel
2024-06-06#166 close初期セキュリティ監査フィードバック（HTTPS 必須化、SET 配信路の機密性・完全性要件）の取り込み完了FragLegs
2024-06-10#160 closeAttacker Stream Subject Insertion 攻撃: Receiver 認証要件追加で対処PedramHD
2024-06-10#161 closeStream Audience Mix-Up: Management API での認証必須化、認証済み identity を audience として利用PedramHD
2024-06-10#162 closeIssuer Mix-Up: stream 設定取得元の issuer 値と SET の iss の整合性確認を Receiver に要求PedramHD
2024-06-10#171 closeVerification event の state 不一致時のエラーレスポンス規定明確化FragLegs
2024-06-10#181 mergeRISC example から「cause-time」誤記の削除Shayne Miel
2024-06-10#182 mergeinvalid state エラーコード説明の修正Shayne Miel
2024-06-10PR mergeStream API 周辺への authorization 要件を明文化Shayne Miel

特に Pedram Hosseyni 起票の 3 つの mix-up 攻撃系 Issue（#160 / #161 / #162）は University of Stuttgart の形式的セキュリティ分析の成果で、いずれも vID-03 ラベル（v3 cutoff 必達）が付与されていた。これらが 6/10 に一斉クローズされたことで、Implementer's Draft 投票に向けたセキュリティ前提条件が満たされた。

2.3 CAEP / Interoperability Profile 側の主要改訂 ​

日付PR内容author
2024-06-10#134 mergeInteroperability Profile に OAuth 詳細（認可スキーム、token endpoint 規定）を取り込みApoorva Deshpande
2024-06-10#179 mergeInterop Profile 内で SET の events claim に イベント 1 件のみという制約を明示Jen Schreiber
2024-06-11#180 mergeCAEP / RISC / SSF 全仕様にまたがる txn claim の用法ドキュメンテーション。Issue #157 を解決Sean O'Dell
2024-06-12#183 merge新規イベント session-presented の追加（impossible travel 検出向け、CAEP Draft 03 の目玉機能）Atul Tulshibagwale
2024-06-13#168 mergeIssue #163 への対応として Transmitter Configuration に default_subjects (ALL / NONE) を追加Shayne Miel

PR #168 (default_subjects) は 5/16 起票後 1 ヶ月近く議論されたうえで 6/13 にマージされた item で、後の Issue #192 (7/4 起票) で xtrycatchx から「Transmitter metadata に default_subjects が存在しない場合の挙動はどうか」と問われる伏線となる。

2.4 Public Review 開始 (6/27) ​

6/27 付で OpenID Foundation は Public Review Period for Three Shared Signals Drafts を Marie Jordan (OIDF Board Secretary) 署名で公示。

  • Public Review 期間: 2024-06-27 〜 2024-08-11（45 日）
  • Notice of Vote 公示予定: 2024-07-29
  • 早期投票開始予定: 2024-08-05（Public Review 完了済み会員向け）
  • 公式投票期間予定: 2024-08-12 〜 2024-08-19

レビュー期間中のフィードバック受付は openid-specs-risc ML 経由（事前に contribution agreement 完了が必要）。Implementer's Draft 化は 「intellectual property protections to implementers of the specification」 を提供する重要なステージで、本月の Public Review 開始は SSF/CAEP 系仕様にとって最終的な Final Specification 化（後の 2025-09 採択）へ向けた最大の通過点となる。

3. ミーティングと議論 ​

6 月の WG 定例コールは月前半が週次運用（6/4、6/11、6/18）の 3 回、月後半は 6/25 を休会として 6/24 に Atul が周知。議事録はすべて github.com/openid/sharedsignals/wiki/Meetings からリンクされた HackMD ページに公開されている。

3.1 2024-06-04 定例 WG コール ​

参加者: Atul Tulshibagwale (SGNL)、Shayne Miel (Cisco)、Nick Wooler (Cisco Webex)、Jen Schreiber (Workday) (議事録 HackMD 2024-06-04 より)。月初の少人数コールで、SSF ID-3 投入直前の論点整理に集中した。

主要議論:

  • "Cause-time" 誤記の削除合意: SSF spec 中の RISC イベント例示で記載されていた cause-time フィールドが account-disabled イベント型の正式属性でないことを確認し、Issue #178 / PR #181 として削除を進める合意

  • ID-3 向け Pending Items のセキュリティ論点掘り下げ: University of Stuttgart 監査結果と関連する以下の論点を順に検討:

    • Issuer 検証義務は 「MUST」 に格上げすべきか
    • 「semantically valid」の定義が曖昧な箇所の明確化
    • Push delivery における unsigned SET / 署名要件の扱い
    • iss 値を Transmitter URL と紐づけ検証可能にする要件
    • マルチテナント Transmitter での tenant-specific issuer 値の扱い

  • SSF Japan ミーティングのフォローアップ: 日本側で 「Webex の SSF 採用関心（SCIM と並走）」 および日本市場での Identity Provider 採用候補洗い出しの議論。これが後の 7/16 コールでの Tom Sato 「日本政府の銀行業界要件としての SSF 検討」報告へとつながる前史

  • Email 検証状態の SSF 反映: イベントペイロードに 「email address が verified か否か」 を示す仕組みを SSF が持つべきか議論。「This sounds like it is a bit out of scope of SSF」（議事録 2024-06-04 より）として 1.0 リリース後の課題に整理。Nick Wooler が tracking issue 起票を担当

3.2 2024-06-11 定例 WG コール ​

参加者は 10 名（SGNL、Cisco、Easy Dynamics、Disney、VeriClouds、Microsoft、Okta、Veridium、Workday からの代表） (議事録 HackMD 2024-06-11 および ML 001600 より)。6/15 頃の ID-3 リリース を目標に逆算した最終調整コール。

主要議論:

  • 3 仕様 ID-3 候補確定までの逆算スケジュール: 12 月 Gartner IAM Summit の Interop Event 開催を起点とし、Implementer's Draft 投票完了から逆算した結果として 6/15 頃の 3 仕様 ID-3 確定 が目標とされた。残る open PR の整理を 6/15 までに完了させる方針を共有

  • PR #168 (default_subjects) の議論: Transmitter Configuration Metadata (TCM) に置くか、stream configuration response にも置くかで意見が割れた:

    • 「TCM のみに残し、stream 個別の汚染を避けるべき」とする派
    • 「事前明示のため TCM と stream config 両方に置くべき」とする派
    • 最終合意は 「ALL / NONE という値名の意味を Stream 挙動に対するものとしてリネーム / 明確化することで TCM のみ残す」（議事録 2024-06-11 より）

  • PR #183 (CAEP Session Presented Event) の risk score 取り込み是非: 新規イベント session-presented に risk score を同梱するか、別イベント risk-score-changed として分離するか で議論。一部参加者は risk 評価を独立イベント化することを希望し、別の参加者は session event 内の optional claim として保持することの利点を主張。最終合意は 「risk score 機能は本 PR から切り出して別 PR とし、後続で検討する」（議事録 2024-06-11 より）

  • アクションアイテム:

    • Shayne Miel: PR #168 を audience scope を明確化する形で更新
    • Atul Tulshibagwale: risk score 機能を session-presented PR から分離した別 PR を作成

3.3 2024-06-18 定例 WG コール ​

参加者: Sean O'Dell (Disney)、Shayne Miel (Cisco)、Atul Tulshibagwale (SGNL)、Nick Wooler (Cisco Webex) の 4 名（議事録 HackMD 2024-06-18 より）。3 仕様 ID-3 候補 (PR #185) が 6/17 にマージされた直後のコールで、コア参加者のみの実務調整に近い回になった。

主要議論:

  • 3 仕様の OIDF Secretary 提出完了: コール直後の ML 投稿 001612 で Atul が 「I sent in our specs to the Secretary, to begin the review」 と報告。提出された 3 仕様は SSF Draft 03 / CAEP Draft 04 / CAEP Interoperability Profile Draft 01 として通告された（実際の Public Review では各仕様の Draft 番号は SSF 03 / CAEP 03 / Interop 00 として再整理される）

  • Risk score をどのイベントに付与するかの再議論: 6/11 コールで「PR #183 からは切り出し別 PR とする」と合意されて 6/12 にマージ済みだったものが、将来の risk score 仕様化方針として再議題化:

    • Shayne Miel: 「session presented と risk score changed の 2 イベントを同じ transaction ID で連鎖させる」 設計案
    • Atul Tulshibagwale: 「risk score is always associated with the session presence」（議事録 2024-06-18 より）として session event 内残置を主張
    • Sean O'Dell: 「a risk score could change due to other activity, e.g. 3 other people got hacked, so this could also be hacked」（議事録 2024-06-18 より）として、session 外要因による risk 変化を指摘
    • 最終合意: risk score は session 系・独立系の 両方のイベントに含める ことで折衷

  • WG コール隔週運用への切替: Shayne Miel と Sean O'Dell が隔週運用への切替に賛同。Atul は Mike Leszcz に calendar invite 再発行を依頼し、次回コールは 7/2 から隔週運用 とする方針を確定

  • セキュリティ blog の改訂: 既存ドキュメントで処理済みの bearer authentication 関連の表現整理について議論。Atul が blog 改訂と Elizabeth (OIDF Marketing) への送付を担当

3.4 2024-06-25 はコールなし（隔週切替アナウンス） ​

6/24 に Atul Tulshibagwale が ML 投稿 001617 で 「Just a reminder, in the call last week, we decided that we will move back to the biweekly schedule for the WG calls. Mike Leszcz has sent updated calendar invites which start on July 2nd」 とアナウンス。calendar invite の二重表示で 6/25 に WG コールが残っていた件への注意喚起で、6/25 にはコールを開催しない ことを明示。次回は 7/2 となる。

4. メーリングリストの主要スレッド ​

openid-specs-risc ML のアーカイブは週次インデックス形式で提供されている。2024 年 6 月の状況:

アーカイブ週投稿数主な内容
Week-of-Mon-202406037GitHub bot 通知のみ（Issue #178 起票、Issue #157 / #166 / #172 / #173 への comment、Issue #157 / #166 close と reopen）
Week-of-Mon-2024061019GitHub bot 通知 18 件（Issue #148 / #157 / #160 / #161 / #162 / #163 / #167 / #168 / #171 / #178 / #183 / #184 / #185 関連）、Atul Tulshibagwale の 6/11 Call notes 1 件
Week-of-Mon-202406178GitHub bot 通知 3 件（Issue #186 起票・comment 2 件）、Atul の 6/18 Update on new drafts + Michael Jones 返信、WG コール招待更新 3 件
Week-of-Mon-202406241Atul Tulshibagwale 「No meeting tomorrow, June 25th」

人手投稿 4 件のうち技術運営上重要な 3 スレッド + GitHub 通知の代表として #186 をめぐる動きを取り上げる。

4.1 Call notes - Atul Tulshibagwale, 2024-06-11 ​

6/11 コール直後の議事録 ML 共有版。Public Review 開始前の 「6/15 頃に SSF ID-3 候補を release する」 という公式目標が共有された投稿として価値が高い。主要内容:

  • 3 仕様 ID-3 候補確定スケジュール: SSF / Interop / CAEP の 3 仕様について 6/15 を目標に release する旨
  • PR #180 (txn claim): 6/11 時点で 「approval ready」 と整理
  • PR #168 (default_subjects): Stream Audience Mix-up 修正での audience scope 言及との整合性確認後にマージする方針
  • PR #183 (CAEP Session Presented): risk score 部分を独立 PR に切り出し

これらの方針整理が直後の 6/12〜6/13 マージラッシュ（PR #183 / #168 / #157 解決）の判断根拠となった。

4.2 Update on new drafts, and call notes - Atul Tulshibagwale, 2024-06-18 ​

3 仕様 ID-3 候補テキストを OIDF Secretary に提出完了した報告。「I sent in our specs to the Secretary, to begin the review. The specs sent in are: Shared Signals Framework Draft 03, CAEP Draft 04, CAEP Interoperability Profile Draft 01」（実際の Public Review では各 Draft 番号は SSF 03 / CAEP 03 / Interop 00 として再整理されることになる）と通告。同時に 「We will be changing the call frequency back to biweekly, and the next call will be on July 2nd」 と隔週運用への切替も告知。技術面では 6/18 コールで再議論された risk score 取扱（両イベントへの含有合意）の経緯も共有された。

4.3 Re: Update on new drafts, and call notes - Michael Jones, 2024-06-18 ​

Microsoft / OpenID 仕様エディタ経験者として知られる Michael Jones による短い返信だが、Public Review 開始タイミングに対する重要な技術的注意喚起。要点は 「Please do not start the review until the published drafts are self consistent」（Michael Jones, 2024-06-18）。理由として、Final 仕様版（バージョン番号なしの正式 URL、例 openid.net/specs/openid-sharedsignals-framework-1_0.html）がまだ未公開で、ドラフト間の相互参照が一貫していない可能性を指摘。この指摘が反映される形で、最終的に Public Review 開始は 6/18 提出から 9 日後の 6/27 にずれ込み、その間に PR #188 (CAEP 版番号修正) / #189 (document history 整備) / #190 / #191 (copyright 整備) のクリーンアップが入る運営判断となった。

4.4 No meeting tomorrow, June 25th - Atul Tulshibagwale, 2024-06-24 ​

WG コール隔週運用切替アナウンス。calendar invite 更新の二重発行で 6/25 開催と誤解される可能性への対処として 「we decided that we will move back to the biweekly schedule for the WG calls」 を再周知。本文ベースの ML 投稿としては短いものの、6/18 コール合意の確実な実装を担保する意味で運営上必要な投稿だった。

5. GitHub 上の議論 ​

openid/sharedsignals リポジトリの 2024 年 6 月の活動は 6 月前半に集中:

  • Issue 新規起票: 2 件 (#178, #186)
  • Issue クローズ: 9 件（前述 §2.2 / §2.3 参照、PedramHD 起票 3 件 / FragLegs 起票 4 件 / iamseanodentity 起票 1 件 / その他 1 件）
  • PR 新規起票: 11 件 (#179〜#185, #187〜#191)
  • PR マージ: 11 件
  • main ブランチへの新規コミット: 16 件（6/6〜6/26、最終 417e8e7 を最後に凍結）

特に議論が活発だった 5 つの item を取り上げる。

5.1 openid/sharedsignals#183 — New session presented event ​

  • author: tulshi (Atul Tulshibagwale)
  • 起票: 2024-06-06 / マージ: 2024-06-12 / Reviewer: iamseanodentity (Sean O'Dell)
  • 6 commits / 61 additions / 3 deletions（1 file）/ 2 comments + 9 review comments

CAEP Draft 03 の目玉機能となる新規イベント session-presented の追加 PR。impossible travel 検出（同一ユーザーが複数アプリで地理的に矛盾するセッションを保持していること）と SSO セッションの device binding によるセッションハイジャック検知が主要用途として位置づけられた。6/11 コール議事録に記録された 「risk score を本 PR から切り出すか、session event の optional claim とするか」 の論点について、6/11 コールで 「risk score を本 PR から切り出して別 PR とする」 ことが合意され、PR #183 では 6/12 のコミット 20f4845（コミットメッセージに 「removed risk_score from the event description. I will create a new PR」）で risk_score フィールドが除去されたうえでマージされた。最終マージ版の session-presented イベントは ips / fp_ua / ext_id / event_timestamp の 4 つの optional claims を持つ。risk score の扱いは 6/18 コールで再議論され、将来の session-presented および risk-score-changed の両イベントに含める方針へと整理された（§3.3 の WG コール 6/18 議論を参照）。

5.2 openid/sharedsignals#168 — Issue 163 - add field to configuration data indicating expected subject behavior for new streams ​

  • author: FragLegs (Shayne Miel, Cisco)
  • 起票: 2024-05-16 / マージ: 2024-06-13
  • 3 comments + 13 review comments

Issue #163（5/9 起票、subject 未追加 stream の default 挙動を仕様化すべき）への対応 PR。Transmitter Configuration Metadata に default_subjects フィールド (ALL / NONE、default は NONE) を追加し、stream に subject が追加されていない初期状態での Transmitter 挙動を明示する設計。6/4・6/11 コールで以下の論点が議論された:

  • 配置場所: TCM のみか、stream configuration response にも置くか
  • 値の意味の明確化: ALL は 「全 subject を default で送信、remove_subject_endpoint がフィルタとして働く」、NONE は 「subject なしで開始、add_subject_endpoint で追加していく」 と表現される
  • TCM 配置の正当化: stream 個別の状態を汚染しないこと、Receiver が事前に Transmitter の挙動を把握できることが利点として整理

最終的に TCM のみ配置 + 値名の意味明確化で 6/13 にマージ。Issue #163 も同日クローズ。本変更が後の Issue #192 (7/4) で 「TCM に default_subjects が存在しない場合の挙動」 という追加質問を生む。

5.3 openid/sharedsignals#180 — PR for Issue #157 (Update CAEP & RISC Events and SSF Docs with txn claim) ​

  • author: iamseanodentity (Sean O'Dell, Disney)
  • 起票: 2024-06-06 / マージ: 2024-06-11

Issue #157（4/24 起票）への対応で、SET (RFC 8417) の txn claim を CAEP / RISC / SSF の 3 仕様に統一的に取り込む大型ドキュメンテーション PR。PR body は 「Added txn claims to examples and made a direct callout to the SET RFC and called out the explicit use of the claim」。txn claim は CAEP の同一ユーザー session に関連する複数イベント（session presented と将来の risk score changed 等）を transaction ID で連鎖追跡する基盤となり、6/11 コールで approval ready と整理された後 即マージされた。Issue #157 は本 PR と関連 PR の効力で 6/13 にクローズ。

5.4 openid/sharedsignals#162 / #161 / #160 — University of Stuttgart mix-up 攻撃系 3 Issue 一斉クローズ ​

  • author: PedramHD (Pedram Hosseyni, University of Stuttgart)
  • 起票: 全件 2024-05-07 / クローズ: 全件 2024-06-10
  • 全件に spec:SSF / sec-analysis / vID-03 ラベル

3 つの mix-up 攻撃を扱う security analysis Issue が同日（6/10）に一斉クローズ。各 Issue の解決アプローチ:

  • #162 Issuer Mix-Up: attacker が stream を作って honest Receiver に attacker の audience 値を含む configuration を渡し、Receiver が attacker の audience claim を持つ SET を誤って受理する攻撃。Receiver が stream configuration の取得元と SET の iss 値の整合性を確認する ことを SHOULD 規定として追加（PR #174 で対処）
  • #161 Stream Audience Mix-Up: Receiver 認証が必須でないことを利用し、attacker が honest Receiver の audience 値で stream を作って SET を奪取する攻撃。Management API での認証必須化、認証済み identity を audience として利用 することで対処
  • #160 Attacker Stream Subject Insertion: attacker が honest Transmitter に対する Receiver、honest Receiver に対する Transmitter として振る舞う mix-up 攻撃で、Receiver の subject を attacker の stream に追加させる。Stream 作成・subject 追加への proof-of-possession 認証、issuer identifier ベースの subject 選択 で対処

University of Stuttgart の形式的セキュリティ分析は FAPI でも先例があり、Open Finance Brazil / オーストラリア政府が funding した経緯（後の 7/29 Mike Leszcz の Directed Funding 募集 ML 投稿でも参照される）を持つ。本月の 3 Issue 一斉クローズは Implementer's Draft 候補テキストへの形式的セキュリティ分析成果の正式取り込み完了 を意味する重要なマイルストーン。

5.5 openid/sharedsignals PR #184 — General doc structure for Event Def ​

  • author: jischr (Jen Schreiber, Workday)
  • 起票: 2024-06-11 / クローズ (not merged): 2024-08-27

Jen Schreiber によるイベント定義の包括的ドキュメンテーション構造の提案 PR。起票直後の 6/11 16:32 UTC に Jen 自ら 「sorry editors.. you dont need to review this. trying to merge into a non-main branch」（Jen Schreiber, 2024-06-11）とコメントし、誤った base ブランチへのマージ試行を取り下げた。本 PR は最終的に 8/27 に未マージで close されるが、後の JSON Schema for Events イニシアチブ（8/13 コールで Jen が正式提案）の素地となる試行であり、6 月時点の WG が「イベント定義の構造化」という方向性を萌芽させていた点で記録に値する。

6. 関連イベント ​

6.1 Identiverse 2024 (5/28-31, Las Vegas) との関連 ​

直前の 5/28-31 に開催された Identiverse 2024 への WG メンバー登壇は公式議事録上では言及されていないが、SSF / CAEP コミュニティの主要 vendor（SGNL / Okta / Cisco / Microsoft / Disney）の関係者が集う場での非公式議論が、6 月初頭の急ピッチな ID-3 候補確定スケジュールに影響したと推測される。6/4 コールで日本市場（Webex SSF 採用関心）への言及があったのも、Identiverse 前後の二国間議論の延長線にある。

6.2 EIC 2024 (6/4-7, Berlin) 開催 ​

European Identity & Cloud Conference 2024 が 6/4-7 にベルリンで開催された。本月の SSF WG 議事録に EIC 関連の直接言及はないが、SSF/CAEP の技術アジェンダが欧州のセキュリティアナリスト・実装者層に届くチャネルとして OIDF が活用していた時期にあたる。

6.3 12 月 Gartner IAM Summit Interop Event の準備開始 ​

6/11 コール議事録に 「The candidate spec releases time backwards from a December deadline aligned with the Gartner IAM summit」 と記載されており、12/9-11 開催予定の Gartner IAM Summit (Grapevine, TX) での第 2 回 Interop Event を目標として 逆算スケジュール が組まれていた。Public Review 完了 → 8 月 Implementer's Draft 投票 → 9〜11 月で実装間 interop テスト → 12 月会場での demo / breakout session という段取り。本月時点では参加者募集（7/19 公式アナウンス）の前段であり、内部設計の段階だった。

6.4 University of Stuttgart のセキュリティ分析成果 ​

5 月までに Pedram Hosseyni (University of Stuttgart) が起票していた mix-up 攻撃系 Issue (#160 / #161 / #162) の 6/10 一斉クローズは、FAPI security analysis（Open Finance Brazil / オーストラリア政府 funding）に続く同大学による形式的セキュリティ分析の SSF への適用 という OIDF 全体での重要パターンの一例。後の 2024-07-29 Mike Leszcz による Directed Funding 募集投稿でも、この pattern が 「Funding examples include past donations to the OIDF for the support of the FAPI security analysis from the Australian government」 として明示的に引用される。

7. 今後の予定 (2024 年 6 月末時点の視点) ​

6 月末時点（当時の視点）で予定されていた次月以降の動き:

  • 2024-06-27 〜 2024-08-11: 45 日 Public Review 期間。3 仕様（SSF Draft 03 / CAEP Draft 03 / CAEP Interoperability Profile Draft 00）への会員レビューを ML 経由で受け付け
  • 2024-07-02: 隔週運用の最初の WG コール。Public Review 期間中の運営調整と GitHub フィードバック対応が主要議題に
  • 2024-07-29 予定: Notice of Vote 公示（Implementer's Draft 投票期間の公式告知）
  • 2024-08-05 予定: 早期投票開始（Public Review 完了済み会員向け）
  • 2024-08-12〜2024-08-19 予定: Implementer's Draft 公式投票期間
  • 2024-12 (Gartner IAM Summit): 第 2 回 Shared Signals Interop Event 開催に向けた参加者募集と準備（7 月以降に本格化見込み）
  • Risk Score 独立イベント (risk-score-changed) の Draft 化: 6/18 コールで両イベントに含める方針が確定したが、独立イベント側の仕様化は v1 Final 化以降の課題として残置
  • JSON Schema for Events イニシアチブ: PR #184 (Jen Schreiber) の取り下げを契機に、event 定義の構造化アプローチが今後のテーマとして浮上する見込み
  • default_subjects 未指定時挙動: PR #168 のマージで導入された default_subjects フィールドが TCM に存在しない場合の挙動が undefined のまま残されており、Public Review 期間中の質問対象になる可能性

8. 参考情報源 ​

議事録 ​

メーリングリスト ​

GitHub ​

公式・関連情報 ​