https://codeberg.org/fediverse/fediverse-ideas/issues/45#issuecomment-1287647
「それ、こうすればVCDIでも行けるよ」という話になって、「でもVCDIは署名対象の文書に`proof`プロパティで署名を埋め込む仕組みだから参照にハッシュだけ付けたい場合に馴染まないのよね。仮に`proof`の逆みたいなプロパティがあってハッシュ側から対象を指せれば話は別だけど……」とまで考えたところで「それ`"@reverse": "proof"`じゃん」と自己完結するなどしていた
「JSON-LD 準拠の処理系が読んだときの解釈が、それっぽい走査や構造の仮定のもとで読んだときと異なる」みたいなの普通に攻撃に使えそうなのでそういうコードは書きたくないという強い抵抗感がある
今まさにこれをどうしたものか悩んでいる
QT: https://mastodon.cardina1.red/@lo48576/110647137018194917 [参照]
https://codeberg.org/tesaguri/fep/src/branch/fep-6b13/fep/6b13/fep-6b13.md#8-1-mismatch-between-original-and-canonical-forms
オブジェクトのハッシュ値を生成するような用途で生成時にJSON-LDとして処理するとして、plain JSONとして読んだときに別の表現として認識されるようなオブジェクトにすり替える攻撃が成立しそうという懸念がある
