소유 증명
Demonstrating Proof of Possession
토큰을 가진 쪽이 그 토큰을 정말 발급받은 당사자인지 암호학적 서명으로 확인하는 인증 기법
쉽게 말하면
소유 증명(DPoP)은 어떤 접근 권한(토큰)을 들고 있는 사람이 그것을 정말 원래 받은 당사자인지 암호학적으로 확인하는 방법이다.
호텔 카드키를 떠올리면 이해가 쉽다. 기존 방식은 카드키만 있으면 누구든 문을 열 수 있었다. 카드키를 복사하거나 도청으로 가로채면 그 사람도 똑같이 방에 들어갈 수 있는 셈이다. 소유 증명은 이 카드키에 지문 인식을 얹는 것과 비슷하다. 카드키 자체를 복사해도, 그 안에 저장된 개인 서명 키까지 훔치지 않으면 문을 열 수 없게 만든다.
구체적으로는 접근을 요청하는 쪽이 자신만 가진 비밀 키로 매 요청마다 짧은 서명을 만들어 토큰과 함께 보낸다. 받는 쪽은 이 서명이 토큰을 처음 발급받은 것과 같은 키에서 나왔는지 검증한다. 그래서 토큰만 가로챈 공격자는 서명을 만들 수 없어 그 토큰을 재사용하지 못한다.