<div dir="ltr"><div><div>=================================================</div><div>OpenID AB/C WG Meeting Notes (2014-11-24)</div><div>=================================================</div><div><br></div><div>Date: 2014-11-24T23:00:00Z</div><div>Attending: John Bradley, Nat Sakimura, Edmund Jay, Mike Jones</div><div><br></div><div>I. Questions raised in the list</div><div>===================================</div><div><br></div><div>1. id_token_hint re-encryption</div><div>-------------------------------</div><div>Roland asked where to find the algs and keys for re-encrypting the id_token.</div><div>The correct ones are request_object_encryption_alg_values_supported and request_object_encryption_enc_values_supported.  </div><div><br></div><div>The attending members agreed that we should publish a WG note on it. </div><div><br></div><div><br></div><div>2. id_token_hint and audience</div><div>------------------------------</div><div>Roland also asked whether the party who is using the id_token as id_token_hint needs to be in 'aud' claim. </div><div>The answer is 'YES'. </div><div><br></div><div>The party sending 'id_token_hint must' be included in the audience (aud) of 'id_token'.</div><div><br></div><div>The attending members agreed that we should publish a WG note on it. </div><div><br></div><div>3. impersonation use case</div><div>-------------------------------</div><div>Vladimir asked whether OP can issue a token to a person who is acting as another user impersonating the user. </div><div>From the protocol level, there is nothing preventing it. It is up to the OP's policy. </div><div>If we need a chain of delegation, we need something like that is being discussed at OAuth WG@IETF. </div><div><br></div><div>II. Other questions</div><div>===========================</div><div><br></div><div>GET based logout</div><div>------------------</div><div>Mike indicated that he intends to write a draft on GET based front channel logout spec.</div><div>(e.g., <img src=""> or hidden iframe).</div><div><br></div><div>It was pointed out that it is only iffy since users tend to close the window before everything completes loading. </div><div><br></div><div>The WG also talked briefly on the status of session management that we need to check the progress. </div><div><br></div><div>Migration implementation</div><div>--------------------------</div><div>Mike wanted to know the progress of implementation of the migration spec. </div><div>Need to check them with potential deployers. </div><div><br></div><div><br></div><div>III. Self-certification Update</div><div>================================</div><div>Mike reported some progress on the self-certification. </div><div><br></div><div>Roland and the team is almost done with writing the test to test the OP features. </div><div>Symantec promised to have the machine by the end of the month. </div><div>Once that's done and the tests are deployed on it, we will ask the parties to test drive them. </div><div><br></div><div>Team will move to RP test then. </div><div><br></div><div><br></div><div>---</div></div><div>Nat Sakimura</div>
</div>