Voor het opstellen van bovenstaande verantwoordelijkheden is gebruikgemaakt van RFC 6819 van IETF, dat een uitgebreide inventarisatie van die risico's bevat, inclusief een reeks van maatregelen per risico. Waar het risico van toepassing is op het gebruik van OAuth binnen MedMij, en de maatregelen passen binnen de MedMij-principes, zijn zij opgenomen in het afsprakenstelsel.

Met betrekking tot het gestelde in sectie 3.1 van RFC 6819 kan gesteld worden dat MedMij uitgaat van:

• handles i.p.v. assertions, zodat de OAuth Resource Server moet kunnen refereren aan data van de OAuth Authorization Server;
• bearer-tokens i.p.v. proof-tokens.

In hoofdstuk 4 van RFC 6819 staat een uitgebreide lijst van beveiligingsrisico's. Niet van toepassing zijn, voor de deze release van het afsprakenstelsel:

• bedreiging 4.1.2: Obtaining Refresh Tokens, omdat het afsprakenstelsel niet met refresh tokens werkt;
• bedreiging 4.2.3: Malicious Client Obtains Existing Authorization by Fraud, omdat in het afsprakenstelsel de autorisatie (vooralsnog) strikt eenmalig mag worden gebruikt;
• bedreiging 4.3.4: Obtaining Client Secret from Authorization Server Database, omdat authenticatie van OAuth Clients in MedMij werkt op basis van PKI-servercertificaten, niet op basis van client secrets;
• bedreiging 4.3.5: Obtaining Client Secret by Online Guessing, omdat authenticatie van OAuth Clients in MedMij op basis van PKI-servercertificaten wordt gedaan, niet op basis van client secrets.

Wel van toepassing zijn:

• bedreiging 4.1.3: Obtaining Access Tokens;
• bedreiging 4.1.4: End-user Credential Phished Using Comprised or Embedded Browser;
• bedreiging 4.1.5: Open Redirectors on Client;
• bedreiging 4.2.1: Password Phishing by Counterfeit Authorization Server;
• bedreiging 4.2.2: User Unintentionally Grants Too Much Access Scope;
• bedreiging 4.2.4: Open Redirector;
• bedreiging 4.3.1: Eavesdropping Access Tokens;
• bedreiging 4.3.2: Obtaining Access Tokens from Authorization Server Database;
• bedreiging 4.3.3: Disclosure of Client Credentials during Transmission;
• bedreiging 4.1.1: Obtaining Client Secrets;
• bedreiging 4.4.1.1: Eavesdropping or Leaking Authorization Code;
• bedreiging 4.4.1.2: Obtaining Authorization "codes" from Authorization Server Database;
• bedreiging 4.4.1.3: Online Guessing of Authorization "codes";
• bedreiging 4.4.1.4: Malicious Client Obtains Authorization;
• bedreiging 4.4.1.5: Authorization "code" Phishing;
• bedreiging 4.4.1.6: User Session Impersonation;
• bedreiging 4.4.1.7: Authorization "code" Leakage through Counterfeit Client;
• bedreiging 4.4.1.8: CSRF against redirect-URI;
• bedreiging 4.4.1.9: Clickjacking Attack against Authorization;
• bedreiging 4.4.1.10: Resource Owner Impersonation;
• bedreiging 4.4.1.11: DoS Attacks That Exhaust Resources;
• bedreiging 4.4.1.12: DoS Using Manufactured Authorization "codes";
• bedreiging 4.4.1.13: Code Substitution (OAuth Login).

In relatie tot het MedMij Afsprakenstelsel vallen de maatregelen die getroffen moeten worden ter mitigatie van deze risico's uiteen in drie groepen:

• maatregelen waarin al is voorzien door één of meerdere verantwoordelijkheden in het MedMij-afsprakenstelsel, zoals bijvoorbeeld:
  • het gebruik van TLS;
  • het gebruik van een (externe) Authentication Server;
  • het beperken van de scope en de geldigheidsduur van authorization codes en access tokens;
  • verantwoordelijkheid 3 op het Token interface;
• maatregelen die weliswaar door RFC 6819 worden gesuggereerd, maar niet worden overgenomen in het MedMij Afsprakenstelsel, omdat zij niet passen bij diens principes of bij andere verantwoordelijkheden in het stelsel;
• overige maatregelen, die alsnog getroffen dienen te worden door DVP Server, OAuth Client of OAuth Authorization Server.