encryption - sirve - ¿Se recomienda firmar y cifrar SAML Y usar SSL?

ssl wikipedia

Question

¿Es necesario cifrar una solicitud SAML si la firmo con mi clave privada y la envío por SSL? ¿O sería una mejor práctica firmarla con mi clave privada, cifrarla con la clave pública del proveedor de identidad Y transmitirla a través de SSL?

Answer 1

Una consulta / solicitud de aserción de SAML generalmente no contiene muchos datos privados, y la solicitud en sí misma generalmente no se conserva para su uso posterior, por lo que no es necesario cifrar la solicitud de SAML en sí. Su firma permitirá que el receptor verifique que los contenidos no hayan sido alterados durante el tránsito, y que la transmisión mediante SSL proporcionará privacidad durante la transmisión. Cifrar la solicitud en esta situación es probablemente una exageración.

Una respuesta de aserción SAML, sin embargo, es un animal completamente diferente. Una respuesta SAML que contenga afirmaciones o afirmaciones probablemente contendrá datos privados. Dependiendo de cómo se utilicen estas aserciones en su sistema, las aserciones se pueden pasar de una parte a otra, algunas con las claves necesarias para descifrar el contenido (porque tienen una relación de confianza con el proveedor de SAML) y otras no. . Las aserciones de SAML se pueden almacenar en un caché o en una base de datos, por lo que realmente no se sabe quién las buscará en el futuro.

Si la respuesta de SAML contiene afirmaciones y aserciones que contienen datos privados, y el receptor de la respuesta conservará la aserción de SAML por un período indefinido o pasará las aserciones de SAML a partes intermedias en las que no confía, entonces sí, las aseveraciones de SAML deberían estar cifrado y la respuesta firmada, independientemente de si se transmite por SSL o no. El cifrado es para proteger la privacidad de los datos después de que lleguen al otro extremo del canal SSL.

Answer 2

Y, el otro extremo de la tubería SSL es el navegador. Hay un conducto desde el IdP al navegador y otro desde el navegador al proveedor de servicios. Si la aserción no está cifrada, la aserción estará disponible para cualquiera en el navegador. Un atacante podría usar el Identificador de Nombre sin cifrar en algún tipo de ataque en los futuros documentos e interacciones de SAML.