Si consiglia di firmare e crittografare SAML e utilizzare SSL?

Question

È necessario crittografare una richiesta SAML se sto firmando con una mia chiave privata e l'invio su SSL? O sarebbe meglio praticarlo per firmarlo usando la mia chiave privata, cifrarlo usando la chiave pubblica dei provider di identità E trasmetterlo su SSL?

Answer 1

Una query/richiesta di asserzione SAML di solito non contiene molti dati privati ​​e la richiesta stessa di solito non viene mantenuta per l'uso in un secondo momento, quindi non è necessario crittografare la stessa richiesta SAML. La firma consentirà al ricevente di verificare che il contenuto non sia stato alterato durante il trasporto e di trasmetterlo via SSL fornirà la privacy durante la trasmissione. Crittografare la richiesta in questa situazione è probabilmente eccessivo.

Una risposta di asserzione SAML, tuttavia, è un animale completamente diverso. Una risposta SAML che contiene affermazioni o affermazioni conterrà probabilmente dati privati. A seconda di come queste asserzioni vengono utilizzate nel sistema, le asserzioni possono essere passate tra parti diverse, alcune delle quali hanno le chiavi necessarie per decrittografare il contenuto (perché hanno una relazione di fiducia con il provider SAML) e altre che non lo fanno . Le asserzioni SAML potrebbero essere archiviate in una cache o in un database, quindi non si sa davvero chi le spunterà in futuro.

Se la risposta SAML contiene affermazioni e asserzioni che contengono dati privati ​​e il destinatario della risposta manterrà l'asserzione SAML per un periodo indefinito o passerà le asserzioni SAML attraverso parti intermedie di cui non si ha fiducia, allora sì, le asserzioni SAML devono essere crittografate e la risposta firmata, indipendentemente dal fatto che sia trasmessa da SSL o meno. La crittografia serve a proteggere la privacy dei dati dopo che è arrivata all'altra estremità della pipe SSL.

Answer 2

E, l'altra estremità della pipe SSL è il browser. C'è una pipa dall'IdP al browser e un'altra dal browser al fornitore di servizi. Se l'Asserzione non è crittografata, l'Asserzione sarà disponibile a chiunque nel browser. Un utente malintenzionato potrebbe utilizzare l'identificativo del nome non crittografato in una sorta di attacco a futuri documenti e interazioni SAML.