提问者:小点点

在加密之前签署saml断言好吗?


我想问一下我是否用idp私钥签署了saml响应,用sp公钥加密了saml断言。加密前我需要签署saml断言吗?这是矫枉过正吗?你从任何官方文档中知道任何标准吗?谢谢。


共2个答案

匿名用户

>

  • 使用收件人的公钥加密保证只有收件人可以读取内容。任何人都可以使用收件人的公钥加密数据。

    使用发送者的私钥签名可以保证只有真正的发送者才能创建数据。任何人都可以验证数据确实来自发送者。

    SAML对于SP来说,最重要的是能够验证断言确实来自IDP,而不是来自某个虚假来源。这只能通过使用IDP的密钥签名来完成。这就是为什么在SAML标准中签名是强制性的。加密可以用来确保除了SP之外没有人可以读取断言的内容。这在标准中是可选的。

    有关详细信息,请参阅SAML2核心规范中的第5章。

  • 匿名用户

    最好的方法是对整个SAML响应进行加密,然后签名,而不仅仅是断言。这种方法被认为是最安全的,并且将被SSO/联邦产品更广泛地接受。

    签署整个SAML响应的原因是一个潜在的协议漏洞,其中无法保证SAML响应的来源(如果响应本身未签名)。