次は、個人間で永続的な住所トークン発行権を付与するやり取りです。 親子間など、ごく少数ですが個人間でも永続的な住所トークン発行権が有効なケースがあります。
登場人物はケース4と全く同じです。 ただ、送信者と受信者には十分な信頼関係があります。
単発のときと同様に、最終的な認可は受信側がします。 永続的な住所トークン発行権を得られるのは 信頼された人間 だけであるべきなので、 単発のときとは全く逆で、 誰がリクエストしているのか を明示するべきです。
誰がリクエストしているのか明示するということは、受信者 に 個人情報が伝えられる ということです。1
送信者 がリクエストを生成する前に、受信者 に個人情報が渡る警告をする必要があります。
受信者が 永続バージョン のリクエスト生成URLを取得し、送信者に送ります。送信者がリクエスト生成URLにアクセスし、リクエスト送信ボタンを押すと、送信者と受信者が組になったリクエストが生成されます。受信者はリクエストを受け取り、認可/拒否の判断をして、認可されれば送信者は受信者の永続的住所トークン生成権を得ます。2送信者はリストなどから送信者を選択し、住所トークンを生成します受信者は生成権を持つ相手のリストから、いつでも生成権を取り消すことができます。
永続的トークン生成権のリクエストをすると、受信者 に個人情報がわたることがやはりネックです。
ケース4のパターンに対し、単発バージョンのリクエスト生成URLを送るふりをして、
永続バージョンを送りつけ、認可画面で 送信者 の個人情報を取得する攻撃が横行しそうです。
リクエスト生成の確認ページで、相手に個人情報が伝わること をこれでもかと目立たせなくてはならないことは明らかです。