是否需要验证SAML断言

Question

作为服务提供商，我试图通过从身份提供商（IdP）获取SAML断言（SAML 1.0）来验证我页面上的用户。执行以下步骤（非常抽象）：

1. 用户访问我的页面
2. 我将用户重定向到用户进行身份验证的IdP。
3. 我得到了一个SAML工件，通过它我向IdP请求SAML断言。
4. IdP将SAML断言直接发送回我的页面。
5. ?

此过程是否足以确保用户身份验证是合法的？我是否只是在步骤 5 中授予用户对我服务的访问权限，还是必须通过验证断言中的签名来确保 SAML 断言有效？如果是这样，我该怎么做？我是否错过了任何其他步骤？

Answer 1

我简短的个人建议：如果IDP已经签署了断言，验证它的关键应该已经在元数据中，验证它应该是一个简单的操作，并且具有很大的安全优势。那就去做吧。

然而...（长答案）很难说什么是安全的，什么不是。这完全取决于你需要对你的网站有多安全。使用断言是一种使它更安全的方法。

这样，用户本身就无法编辑断言。签名是更安全的一步，可确保断言来自 IDP 并且未发生更改。

没有它，攻击者就有可能伪装成IDP，将工件重定向到自己的服务器。然后，攻击者可以用他想要的任何断言来响应。另一种情况是，如果断言不受签名保护，它可能会在互联网传输过程中的某个地方被更改。

对于任何安全控制，您都必须权衡用户身份验证对您的重要性以及绕过它的人的连续性。

Answer 2

不，如果您使用工件解析协议，如果您信任传输，则无需验证断言的签名。如果传输是https url并且您的服务器具有一组正确的受信任根证书，则通常可以信任传输。

SAML2标准(核心，第5.3节)规定，如果一个断言包含在另一个已签名的元素中，则该断言应被视为已正确签名。在工件resu lout的情况下，这意味着覆盖整个工件解析响应消息的签名足以考虑要签名的断言。该标准进一步指出，通过认证的SLL连接接收的SAML消息可以被认为是正确签名的，如果由配置文件定义的话。

查看 WebSSO 配置文件，它指出，对于工件解析（配置文件，4.1.4.4），“使用工件解析配置文件取消引用工件必须相互认证、完整性受保护且保密。恕我直言，哪个是由正确设置的https连接覆盖的。

但是，如果您以完全管理的方式进行SAML2，那么您还应该为特定设置提供一个部署配置文件，明确定义https连接是否可信。