<div dir="ltr">Attendees<div>Adam Dawes, Marius Scurtescu, Roshni Chandrashekhar, Shreyas Saitawdekar, Annabelle Backman</div><div><br></div><div>F2F @ IIW (April 5)</div><div><ul><li>We'll huddle at IIW to work on agenda</li><li>Marius will reserve room at Google for event</li></ul></div><div>-- Updates to core RISC signals draft ---</div><div>Marius sent <a href="https://bitbucket.org/openid/risc/src/faa03fdd6adc56365a8bda3d67aab97ad08e0630/risc-event-types.txt?at=master&fileviewer=file-view-default">updated specs</a> over the weekend. Reviewed items from <a href="https://bitbucket.org/openid/risc/overview">change log</a>. </div><div><ul><li>Renamed account_deleted to account_purged<br></li><li>Dropped cause-time from the event because there is now toe at the SET level</li><li>identifier_changed has attribute new_value which is optional instead of required. Also expanded description to not confuse with recovery information changes. Should only sent by authoritative provider.</li></ul><div>One question: Two opt-out related events: opt_in, opt_out_cancelled. They both mean user is going to opt-in state but coming from two different opt-out states. Do we need two?</div></div><div><br></div><div><b>We've now closed on this round of feedback around the signals and Google will implement to these signals and definitions. We can revisit based on operational experiences but the bar for change will be higher. </b></div><div><br></div><div>-- OAuth Events --</div><div>Marius sent <a href="https://bitbucket.org/openid/risc/src/faa03fdd6adc56365a8bda3d67aab97ad08e0630/oauth-event-types.txt?at=master&fileviewer=file-view-default">spec</a> to the list. </div><div>Five events defined so far. Strong assumption at the beginning: aud claim in the SET is the clientID of the OAuth client. No comment on that being a problem</div><div>Signals</div><div><br></div><div>token_revoked</div><div><ul><li>token_type (three values: refresh_token, access_token, authorization_code)</li><li>token_identifier_type (three values: token_string, token_string_prefix, token_string_hash)<br>issuer needs to make sure that the string prefix is unique. May require user to be identified</li><li>token: string that identifies the token</li><li>token_string_hash_algorithm (optional if hash algorithm is used as token_type. Still fleshing this out)</li></ul>Question: Should we pull out token_string_hash until someone wants to do that?<br><b>AI [Marius]</b>: provide advice around when the token could have a collision and when to include a user identifier and when not to.</div><div><br></div><div>tokens_revoked</div><div>No identifying of individual tokens, instead all tokens for that user have been dropped for the client identified by the audience</div><div><br></div><div>client_disabled</div><div>No attributes or subject. Client is defined by audience claim. Any request for that client will generate an error. No 'reason' attribute at this point. Refresh and access tokens will stop working.</div><div><br></div><div>client_enabled</div><div>Client has started working again. Lots of reasons why clients disabled and lots of those reasons could be errors. </div><div><br></div><div>client_credential_changed</div><div>One of the credentials issued for that client have changed. Could be client secret or private key rotated. Probably will mean an outage unless deliberately planned by the developer. </div><div><br></div><div>John Bradley agreed to review the spec and provide feedback. </div><div><br></div><div>Annabelle comments: </div><div><ul><li>token_revoked -> token_type parameter should support arbitrary URIs because that's how you define extension types for OAuth2</li><li>client events: can't assume that audience always pertains to the client_id. For Amazon, they have applications which may relate to multiple client_ids. May want to set for application. May also break down in dynamic client scenarios. OP may not have full list of clients. </li></ul>Marius thinking about adding subject claim which would relate to the clientID. May not work when need to identify user. </div><div><br></div><div>Should this spec happen in OAuth working group. Marius: let's start here and we can move to IETF if people feel that is important. </div><div><br></div><div>-- IETF recap --</div><div><ul><li>We will split delivery draft into PUSH and PULL drafts. Whole question about MTI goes away. <br>Majority of people saw them targeting different use cases. Questions about how this would work out through IETF. New AD said that WG would probably be called on it but would be okay with justification.</li><li>Annabelle will write draft and submit wg draft for subject identifier types. </li><li>Expired claim. No consensus on what to do. How does one understand semantics of expired claim.</li></ul></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Sun, Mar 25, 2018 at 11:10 PM, Adam Dawes <span dir="ltr"><<a href="mailto:adawes@google.com" target="_blank">adawes@google.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">Just a reminder about the RISC call Monday at 3pm PDT. </div><div class="gmail_extra"><br><div class="gmail_quote"><div><div class="h5">On Thu, Mar 22, 2018 at 11:47 PM, Luke Camery via Openid-specs-risc <span dir="ltr"><<a href="mailto:openid-specs-risc@lists.openid.net" target="_blank">openid-specs-risc@lists.<wbr>openid.net</a>></span> wrote:<br></div></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div><div class="h5"><div dir="ltr">Hello,<div><br></div><div>The RISC WG will meet on 3/26 at 3pm PST. We will continue our high priority discussion on the RISC signals then move onto the primary RISC spec.</div><div><br></div><div>Please check the issue tracker and leave any comments that you have before then!</div><div><br></div><div><b>Agenda</b></div><div>1. Updates to RISC signals and discussion of updated draft</div><div>2. Discussion of OAuth signals draft</div><div>3. Updates to main spec</div><div><br></div><div><b>Call Details</b></div><div>1. Please join my meeting. <a href="https://global.gotomeeting.com/join/576653581" target="_blank">https://global.gotomeeting.com<wbr>/join/576653581</a></div><div>2. Or call in at: <a href="tel:(312)%20757-3119" value="+13127573119" target="_blank">+1 (312) 757-3119</a><span class="m_-4093462717146717202HOEnZb"><font color="#888888"><br clear="all"><div><br></div>-- <br><div dir="ltr" class="m_-4093462717146717202m_5491474129818208053gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><table cellspacing="0" cellpadding="0" dir="ltr" border="1" style="color:rgb(136,136,136);font-size:13px;line-height:normal;margin:0px;padding:0px;border:1px solid rgb(204,204,204);border-collapse:collapse;table-layout:fixed;font-family:arial,sans,sans-serif"><tbody style="margin:0px;padding:0px;border:0px"><tr style="margin:0px;padding:0px;border:0px;height:48px"><td style="padding:2px 3px;border:1px solid rgb(255,255,255);vertical-align:middle;text-align:center"><img src="http://i.imgur.com/Ya4Rhss.gif" width="96" height="42"></td><td style="padding:2px 3px;border-width:1px 1px 1px 0px;border-top-style:solid;border-right-style:solid;border-bottom-style:solid;border-top-color:rgb(255,255,255);border-right-color:rgb(255,255,255);border-bottom-color:rgb(255,255,255);vertical-align:middle;text-align:center"><blockquote style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"></blockquote></td><td style="padding:2px 3px;border-width:1px 1px 1px 0px;border-top-style:solid;border-right-style:solid;border-bottom-style:solid;border-top-color:rgb(255,255,255);border-right-color:rgb(255,255,255);border-bottom-color:rgb(255,255,255);vertical-align:bottom"><blockquote style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><b style="font-size:small;color:rgb(61,133,198);font-family:arial">  •  </b><b style="font-size:small;font-family:arial"><font color="#666666">Luke Camery</font></b><font face="arial" color="#3d85c6" style="margin:0px;padding:0px;border:0px"><b><br></b></font><b style="font-size:small;color:rgb(255,0,0);font-family:arial">  •  </b><font color="#666666" style="margin:0px;padding:0px;border:0px">Associate Product Manager</font><font color="#ff0000" face="arial" style="margin:0px;padding:0px;border:0px"><b><br></b></font><b style="color:rgb(255,204,51);font-size:12.8px">  •  </b><font color="#666666" style="margin:0px;padding:0px;border:0px">Federated Identity</font></blockquote></td></tr></tbody></table></div></div></font></span></div></div>
<br></div></div>______________________________<wbr>_________________<br>
Openid-specs-risc mailing list<br>
<a href="mailto:Openid-specs-risc@lists.openid.net" target="_blank">Openid-specs-risc@lists.openid<wbr>.net</a><br>
<a href="http://lists.openid.net/mailman/listinfo/openid-specs-risc" rel="noreferrer" target="_blank">http://lists.openid.net/mailma<wbr>n/listinfo/openid-specs-risc</a><br>
<br></blockquote></div><span class="HOEnZb"><font color="#888888"><br><br clear="all"><div><br></div>-- <br><div class="m_-4093462717146717202gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div style="line-height:1.5em;padding-top:10px;margin-top:10px;color:rgb(85,85,85);font-family:sans-serif;font-size:small"><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(213,15,37);padding-top:2px;margin-top:2px">Adam Dawes |</span><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(51,105,232);padding-top:2px;margin-top:2px"> Sr. Product Manager |</span><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(0,153,57);padding-top:2px;margin-top:2px"> <a href="mailto:adawes@google.com" target="_blank">adawes@google.com</a> |</span><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(238,178,17);padding-top:2px;margin-top:2px"> <a href="tel:(650)%20214-2410" value="+16502142410" target="_blank"><wbr>+1 650-214-2410</a></span></div><br></div></div>
</font></span></div>
</blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div style="line-height:1.5em;padding-top:10px;margin-top:10px;color:rgb(85,85,85);font-family:sans-serif;font-size:small"><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(213,15,37);padding-top:2px;margin-top:2px">Adam Dawes |</span><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(51,105,232);padding-top:2px;margin-top:2px"> Sr. Product Manager |</span><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(0,153,57);padding-top:2px;margin-top:2px"> <a href="mailto:adawes@google.com" target="_blank">adawes@google.com</a> |</span><span style="border-width:2px 0px 0px;border-style:solid;border-color:rgb(238,178,17);padding-top:2px;margin-top:2px"> +1 650-214-2410</span></div><br></div></div>
</div>