“OAuth PKCE (Pixie)” está acreditado como coautor conmigo, John Bradley (Ping) y Naveen Agarwal (Google).[RFC 7636] Fue publicado como. Originalmente se llamaba OAuth SPOP (Prueba de posesión simétrica), pero como se expandió para incluir cosas distintas a las simétricas, pasó a llamarse Clave de prueba para intercambio de código (PKCE, duendecillo), que es lo que es hoy.
Este estándar aborda la vulnerabilidad del ataque de interceptación de código del cliente público en OAuth 2.0 [RFC6749], genera una clave efímera y la utiliza para realizar la prueba de posesión de la clave. Es compatible con versiones anteriores de RFC6749 y es fácil de implementar, por lo que creo que puedes usarlo a partir de ahora.
Eduardo GueirosSeñor,James MangerSeñor,Brian CampbellSeñor, Mike Jones,william dennisNos gustaría expresar nuestro más profundo agradecimiento a él y a todos los que participaron en la consideración de los aspectos de seguridad de esta norma. También me gustaría agradecer al grupo de trabajo de OAuth, su presidente, los directores de área y a todos los miembros del IETF que participaron en el desarrollo de este estándar.
Tenga en cuenta que este OAuth PKCE ya ha sido ampliamente adoptado por la aplicación del sitio de videos de una determinada empresa y otras aplicaciones.
[RFC6749] Hardt, D.: El marco de autorización OAuth 2.0 (2012), https://tools.ietf.org/html/rfc6749