나와 John Bradley (Ping)와 Naveen Agarwal (Google)이 공동 저자로 크레딧을 받고있는 "OAuth PKCE (픽시)"가[RFC 7636] 로 발행되었습니다. 원래는 OAuth SPOP (Symmetric Proof of Posession)라고 말했지만, Symmetric에 한정되지 않는 형태로 확장했기 때문에 Proof Key for Code Exchange (PKCE, 픽시 = 요정)라고 이름을 바꾸어 현재에 이르고 있습니다.
이 규격은 OAuth 2.0 [RFC6749]의 Public Client 의 Code Interception Attack 취약성에 대응하는 것으로, ephemeral key를 생성해, 이것을 사용한 Proof of Possession of Key 를 합니다.
Eduardo Gueiros씨,James Manger씨,브라이언 캠벨씨, Mike Jones씨,William Dennis씨, 그리고 이 규격의 시큐리티면의 검토에 참가해 주신 여러분에게 깊게 감사드립니다.또한, OAuth working group의 여러분, 의장, 에리어 디렉터, 이 규격의 책정에 관계된 IETF의 여러분에게도 감사드립니다.
덧붙여 이 OAuth PKCE는, 모사의 동영상 사이트 앱 외에 이미 폭넓게 채용되고 있는 것을 신청합니다.
[RFC6749] Hardt, D.: The OAuth 2.0 Authorization Framework (2012), https://tools.ietf.org/html/rfc6749