CheatSheetSeries: JWT for Java チートシートに Token Status List 参照を追加
CheatSheetSeries: JSON Web Token for Java チートシート — Token Status List (TSL) 参照追加
概要
2026年6月26日、OWASP CheatSheetSeriesの「JSON Web Token for Java」チートシートに、Token Status List (TSL) に関するセクションが追加された。
変更内容
Issuer-Side Revocation: Token Status List
JWTトークンの無効化(denylist)アプローチは通常、リライイングパーティ(リソースサーバー)によって運用される。この方式は、オーディエンスがトークン検証の場で独自の無効化状態を維持する場合に適している。
しかし、イシュアー(発行者)が複数のリライイングパーティに対して集中的に無効化状態をブロードキャストする必要があるデプロイメントでは、各パーティが独自のdenylistを維持する必要のないスケーラブルな仕組みが求められる。
このユースケースに対し、IETFの Token Status List (TSL) ドラフトが、スケーラブルなイシュアー管理型の無効化メカニズムを定義している。
- TSLは SD-JWT Verifiable Credentials や、単一イシュアーが多数のリライイングパーティにサービスを提供する大規模デプロイメントで使用される
- イシュアーサイドの無効化が必要な場合、TSLドラフトの実装ガイダンスを参照すること
セキュリティ上の重要性
- トークン無効化のスケーラビリティ: 従来のdenylist方式では、各リソースサーバーが個別に無効化リストを管理する必要があった。TSLにより、イシュアーが一元的に無効化状態を配布できる
- SD-JWT Verifiable Credentialsとの整合性: TSLは最新のベリファブルクレデンシャル標準と統合されており、アイデンティティ連携の文脈でも重要
- OAuthエコシステム全体の改善: 多数のリライイングパーティを抱えるエンタープライズ環境で特に有効