ついに実装が公開されたのですね。この技術が広まって、ブラウザーにはパスワードを入力する専用のテキストボックスがあるのが当たり前、それ以外の場所にパスワードを入力する必要などないのが当たり前になってくれたら良いと思います。

ところで、 2007 年 3 月の発表当時のプレスリリース (産総研 [aist.go.jp]、 Yahoo [yahoo.co.jp]) と Internet Watch の記事 [impress.co.jp]では「ブラウザ拡張機能を試作しました」「Web ブラウザ『Firefox』の拡張機能を試作している」と書かれていて、この点もクライアント側の導入が簡単で素晴らしいと思っていたのですが、今回の実装は Firefox の改造版のようですね。何か理由があるのでしょうが、これだとクライアント側のハードルが高いので、少し残念です。

(それとももしかしたら、 Firefox 機能拡張より、 Firefox を改造して作った別のブラウザーの方が多くの人にとってはハードルが低い、なんてことがあるのでしょうか?)

それと、細かい話ですが、 Internet-Draft [ietf.org] というのはあくまでも draft なので、「正式版」と呼ぶ [aist.go.jp]のはいただけません。そのうち RFC になることに期待します。

mutualext.dllのソースコードが含まれていませんね。
あとnsIMutualAuthState.xptの元になるidlが含まれてないのが気になりました。

とりあえず、brandingの方が長いのに吹いてしまった。というか、これ、ソース全部じゃなくて、「本体に差分を当てないといけない部分」のソースじゃないですか。mutualext.dllのソースは含まれていないので、タレコミは何か誤解がある気がします。少なくとも他のプラットフォームの人は当てても無駄ですよ。

以下、野暮コメント

+      if (nsDependentCString(value).Equals("AUTH SUCCEED")) {

まあ、やりたいことは分かりますが、"AUTH SUCCEED"はリテラルなので、nsAString流にいくなら、EqualsLiteralですね。

if (nsDependentCString(value).EqualsLiteral("AUTH SUCCEED")) {

でも、これって、結局::strcmpと変わらないので

if (0 == PR_strcmp(value, "AUTH SUCCEED")) {

の方が万人向けだと思います。

あと、NS_COPY_CACHE_TO_CHANNELは何故マクロなのでしょうか。

+#define NS_COPY_CACHE_TO_CHANNEL(name) \
+  do { \
+    char *_val; \
+    nsresult _rv; \
+    _rv = mCacheEntry->GetMetaDataElement(name, &_val); \
+    if (NS_FAILED(_rv)) return _rv; \
+    nsHashPropertyBag::SetPropertyAsACString( \
+      NS_LITERAL_STRING(name), \
+      nsDependentCString(_val) \
+      ); \
+    nsMemory::Free(_val); \
+  } while(0)

inline関数でも別にいいんですよね、これは？コンパイラが信用できないとか、そういう話なんだろうか…。

何で日本語版がないんだ! 俺が読めねーぢゃねーか!
どんな実装にしたのか wktkしてたのにひどい仕打ちだ。

日本人ならすべて日本語で書けとまでは言わないが、日本語版ぐらい用意してほしい。

俺が英語を読めない件については無視することにして、
とりあえず、文句を言っておく。

そんなわけで、プロトコルの仕様の日本語訳を誰か作ってお願いぷりーず

面白そうな技術だし　かなり興味ひかれるものがある。
しかしMutualTestFoxって名前はどうなのよ?
仮の名前なのかもしれないがもっとマシなネーミングはなかったのかと
外部に公開するものにこのネーミングセンスはないわ。

プロトコルが気になる人はまずこちらをどうぞ。
おおいわのこめんと [www.oiwa.jp]
あと、昔のやつですがこちらにも紹介があります。
@IT [atmarkit.co.jp]

あとはサイトに論文 [aist.go.jp]があるのでそちらをどうぞ。
あ、slashdot.orgの画像が使われてる…

httpまったり?

Mutual Authentication Protocol for HTTP draft-oiwa-http-mutualauth-02 [ietf.org]

高木先生が去年の12月にIETFに行って来た [takagi-hiromitsu.jp]話はこの絡みですね。

アドレスバーに認証されたユーザ名を表示するそうだけど、フレームなどで複数認証されているコンテンツを表示する場合はどうすべきなんだろう？
やっぱりフレーム内ページは対象外？

いったいこの人達は自分たちのプロトコルを（日本語で）何と呼んでほしいのか。

• HTTPパスワード相互認証プロトコル
• HTTP Mutual アクセス認証
• HTTP相互認証プロトコル

ブレがあるというか、それぞれの定義がはっきりしないように思う。

あと、別の指摘にもあるがブラウザ本体を配布するという方法にも疑問がある。「ちょっと試す」ハードルを 低くする効果はあるにしても、ブラウザ本体の脆弱性を修正することを放棄している（自動更新を 無効化している）以上、常用は決してお勧めできない。 Yahoo!オークションで実証実験するらしいが、その期間中の対応（ユーザへの通知も含めて）は どうするつもりだろうか。6月というとFirefox 3正式リリース後か...

ブラウザについては、ログインボタン（認証ボタン？）/ログアウトボタンにはtooltipがあるとよいと思った。

もうひとつブラウザについて、パスワード記憶（自動入力）と連携していないのががっかりだった。 技術的には可能だと思うが、複数IDがある場合の扱いが問題だろうか。

体験サイトについては、ログアウトボタンがあるとよいと思った。せっかくそのためのプロトコルを 持ってるのに。サイトの目的が違うのかもしれないけど、「Basic認証とは違うでしょ？」ってところ をもっとアピールしてもよいと思う。