„Google“ prideda DPoP palaikymą OAuth, kad apsaugotų refresh tokenus nuo vagystės
Trumpai: „Google“ paskelbė apie DPoP (Demonstrating Proof-of-Possession, RFC 9449) palaikymą savo OAuth platformoje – refresh tokenai kriptografiškai susiejami su kliento sugeneruota raktų pora, todėl pavogti tokenai negali būti pakartotinai panaudoti užpuolikų. Apsauga taikoma tik ilgalaikiams refresh tokenams, o trumpalaikiai access tokenai lieka standartiniai Bearer tokenai, kad nebūtų papildomos kriptografinės apkrovos dideliam API srautui. „Google“ taip pat pabrėžia DPoP svarbą saugant kelių agentų ir Model Context Protocol (MCP) architektūras, rekomenduodama Google Cloud Secure Token Service tokenų delegavimo grandinėms tarp agentų.
Šią santrauką automatiškai parengė dirbtinis intelektas pagal „Google Developers“ publikaciją. Tai mūsų tekstas, ne originalo kopija — faktai, skaičiai ir citatos priklauso šaltiniui, kurio nuoroda pateikta viršuje ir apačioje.
Kas pasikeitė?
- 1DPoP (RFC 9449) dabar palaikomas susieti Google OAuth refresh tokenus su kliento raktų pora
- 2Access tokenai lieka standartiniai Bearer tokenai, kad būtų išlaikytas API našumas
- 3DPoP rekomenduojamas Backend-for-Frontend, Token-Mediating Backend ir Browser-based OAuth Client modeliams
- 4Google Cloud Secure Token Service (STS) rekomenduojamas kelių agentų / MCP tokenų delegavimo grandinėms, nes oauth2.googleapis.com nepalaiko RFC 8693 Token Exchange
- 5DBSC (Device Bound Session Credentials) pristatomas kaip papildoma apsauga naršyklės sesijos slapukams
Kodėl tai svarbu?
Refresh tokenų vagystė per infostealer kenkėjišką programinę įrangą ar adversary-in-the-middle atakas yra reali grėsmė bet kuriai paslaugai, naudojančiai Google OAuth, įskaitant CRM, kalendoriaus ir debesijos API integracijas, naudojamas automatizavimo bei agentų grandinėse; DPoP uždaro šią spragą nesulėtindamas kasdienių API iškvietimų.
Ką tai reiškia AI agentams ir kontaktų centrams?
Jei jūsų sistema autentifikuojasi prie Google paslaugų (Gmail, Calendar, Drive, Workspace) per OAuth CRM ar skambučių duomenų integracijoms, DPoP taikymas refresh tokenams sumažina kredencialų vagystės riziką iš pažeistų agentų kompiuterių ar naršyklių. Kelių agentų ar MCP įrankių iškvietimo sąrankose patikrinkite, ar delegavimo srautams nereikia Google Cloud STS vietoj dalinamų raktų.
🧪 Verta testuoti
DPoP diegimo testavimas yra mažos rizikos ir taikliai nukreiptas: jis paveikia tik refresh tokenų tvarkymą, o ne access tokenų latenciją, todėl lengva išbandyti integracijose, susijusiose su Google API ar MCP agentų grandinėmis.
Šaltiniai
- Google DevelopersOficialusPirminis šaltinisOriginalus straipsnis →„Announcing DPoP Support for Google OAuth: Securing Refresh Tokens“2026-10-15 03:00
- Šaltinio publikavimo data
- 2026-10-15 03:00
- Mūsų sistema rado
- 2026-10-15 21:11
- Santrauka sugeneruota
- 2026-10-15 21:12
Straipsnį pagal originalų šaltinį parašė AI. Faktai, skaičiai ir kainos — iš šaltinio; trūkstamos reikšmės pažymėtos „Nėra oficialių duomenų“. Teisinė informacija, autorių teisės ir privatumas