Tôi có nên yêu cầu IdP ký các phản hồi SSO SAML2 không?

Question

Ứng dụng của chúng tôi có tích hợp SAML2 SSO với 3 IDP (Shibboleth) khác nhau. Chúng tôi đang cố gắng thêm một số 4 (cũng là Shibboleth), nhưng lại gặp phải một số vấn đề, bởi vì ứng dụng của chúng tôi hy vọng tất cả các phản hồi SSO sẽ được ký một cách chính xác. Những người khác 3 đang ký kết phản ứng của họ, nhưng thứ 4 là không, và là do dự để thêm một cấu hình tùy chỉnh để thực thi ký cho ứng dụng của chúng tôi.

Về mặt kỹ thuật tôi có thể sửa đổi ứng dụng của mình để chấp nhận phản hồi SSO chưa được ký, nhưng tôi tự hỏi có nên hay không. Cạm bẫy của việc cho phép phản ứng SSO chưa được ký là gì? Có lỗ hổng bảo mật nào không?

Có tài liệu nào về Shibboleth (hoặc tài liệu SAML2 SSO) khác đề xuất ký phản hồi như là phương pháp hay nhất không?

Answer 1

Yêu cầu duy nhất cho IdP theo thông số SAML 2.0 là ký điện tử vào xác nhận (xem http://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf - phần 4.1.3.5). Điều đó là đủ để biết liệu hoạt động SSO từ một IdP có được tin cậy bởi SP đã liên kết với nó hay không.

Ký phản hồi bên ngoài là tùy chọn. Có một số lợi ích bảo mật cho nó, chẳng hạn như ngăn chặn việc chèn hoặc sửa thông báo (xem phần 6.1.3/6.1.5 trong http://docs.oasis-open.org/security/saml/v2.0/saml-sec-consider-2.0-os.pdf) - nhưng trong thực tế, nó thường bị bỏ qua thay vì dựa vào SSL/TLS.

Answer 2

Toàn bộ điểm ký kết phản hồi là chứng minh rằng họ thực sự đến từ tổ chức phát hành. Nếu không, "người đàn ông ở giữa" có thể thay đổi các thuộc tính, ví dụ: để cung cấp cho họ quyền truy cập vào một ứng dụng.

ADFS v2.0 sử dụng SAML theo mặc định ký tất cả mã thông báo phản hồi. Không có cách nào để tắt chức năng này.