Samenvatting
| Waarom is deze RFC nodig? | Kwetsbaarheid in OAuth opheffen | ||||||||
|---|---|---|---|---|---|---|---|---|---|
| Oplossingsrichting | Authorization server extra controle(s) voorschrijven. Redirect url toevoegen aan OCL en controle hierop voorschrijven. | ||||||||
| Aanpassing van | Authorisation interface (AS) | ||||||||
| Impact op rollen | DVZA, DVP | ||||||||
| Impact op beheer | Geen | ||||||||
| Impact op RnA | Schema OCL aanpassen. | ||||||||
| Impact op Acceptatie | Ja, controle op redirect url tegen waarde in OCL toevoegen. | ||||||||
| Gerelateerd aan (Jira issues) |
| ||||||||
| Eigenaar | Johan Hobelman, Ron van Holland (Unlicensed) | ||||||||
| Implementatietermijn | 1.3.0 | ||||||||
| Motivatie verkorte RFC procedure (patch) | Chipsoft en Nedap: Verduidelijken hoe om te gaan met onbekende scope parameters |
...
2b. Na ontvangst van een authorization request verifieert de Authorization Server dat:
- deze GegevensdienstId voorkomt bij de betreffende
client_idop de OAuth Client List;- zij namens deze Zorgaanbieder deze Gegevensdienst ontsluit;
- indien in de scope ook
subscribevoorkomt:
- bij de betreffende
client_iden Gegevensdienst op de OAuth Client List ook een subscription notification endpoint en een resource notification endpoint voorkomen;- zij namens deze Zorgaanbieder ook Abonnementen op deze Gegevensdienst ontsluit, blijkens de Zorgaanbiederslijst.
Slagen niet al deze verificaties, dan behandelt de Authorization Server dit als uitzondering 1b volgens verantwoordelijkheid 6.
Info
title Verificatie van erkenning op Gegevensdienst Zo voorkomt de Authorization Server dat gevolg wordt gegeven aan een verzoek dat blijkens de OAuth Client List of Zorgaanbiederslijst niet is toegestaan.
6. Authorization Server en PGO Server behandelen uitzonderingssituaties inzake het authorization interface af volgens onderstaande tabel.
In tabel aanpassen de Melding kolom voor Authorization interface 1b naar:
"conform OAuth 2.0-specificatie, par. 4.1.2.1, met de daar genoemde toepasselijke, zo specifiek mogelijke, error code"
...