¿Es necesario encriptar una solicitud SAML si la estoy firmando con una clave privada y enviándola a través de SSL? ¿O sería una mejor práctica firmarlo usando mi clave privada, encriptarla usando la clave pública de proveedores de identidad Y transmitirla a través de SSL?¿Se recomienda firmar y cifrar SAML Y usar SSL?
Una consulta/solicitud de aserción SAML generalmente no contiene demasiados datos privados, y la solicitud en sí no se conserva para su uso posterior, por lo que hay poca necesidad de encriptar la solicitud SAML. Al firmarlo, el receptor podrá verificar que el contenido no haya sido alterado en tránsito, y transimitirlo a través de SSL proporcionará privacidad durante la transmisión. Encriptar la solicitud en esta situación probablemente sea excesivo.
Una respuesta de aserción SAML, sin embargo, es un animal completamente diferente. Una respuesta de SAML que contenga reclamos o afirmaciones probablemente contenga datos privados. Dependiendo de cómo se utilicen estas afirmaciones en su sistema, las aserciones pueden transmitirse entre diferentes partes, algunas tienen las claves necesarias para descifrar el contenido (porque tienen una relación de confianza con el proveedor de SAML) y otras que no lo hacen. . Las aserciones de SAML se pueden almacenar en un caché o en una base de datos, por lo que realmente no se sabe quién las hurgará en el futuro.
Si la respuesta SAML contiene afirmaciones y afirmaciones que contienen datos privados, y el receptor de la respuesta se mantendrá en la aserción SAML por un período indefinido o pasando las aserciones SAML a través de partes intermedias en las que no confía, entonces sí, las aserciones SAML deben estar cifradas y la respuesta debe estar firmada, independientemente de si se transmite mediante SSL o no. El cifrado es para proteger la privacidad de los datos una vez que llegan al otro extremo del conducto SSL.
Y, el otro extremo de la tubería SSL es el navegador. Hay un conducto desde el IdP hasta el navegador, y otro desde el navegador hasta el Proveedor de Servicios. Si la Afirmación no está encriptada, la Afirmación estaría disponible para cualquiera en el navegador. Un atacante podría usar el identificador de nombre no encriptado en algún tipo de ataque a futuros documentos e interacciones de SAML.
Pero si un atacante es dueño del navegador ¿no lo hemos perdido ya? – sbc
"El cifrado es para proteger la privacidad de los datos una vez que llegan al otro extremo del conducto SSL". Esto lo dejó claro para mí. ¡Gracias! – BernardMarx