15

いくつかの記事とリファレンスを読んだ後、それらがSAMLとは何か、SAMLに含まれるコンポーネント、SAMLがどのように機能するかを実際に示していることがわかりました。次のようないくつかの良いリンク：

しかし、私はまだそれについて混乱していると感じています：なぜそれが安全であると言うのですか？私の見解では、要するに、SAMLは単なる「フォーマットされた」XML表現です。これは、情報ハイウェイで数字を交換するための言語またはメカニズムです。安全であることがわかりません。情報を交換するための交渉または標準的な方法を提供するだけです。自分の理解が正しいかどうかわかりません。SAMLに「セキュリティ」が含まれている理由はまだ私を混乱させます。

4

3 に答える 3

14

読んだ後に見逃している部分は、メッセージの整合性と機密性を確保するために、SAML が XML DSIG および XML ENC 仕様の使用をどのように要求しているかということだと思います。標準化されたメッセージ形式と共通の名前識別子により、当事者間の ID 情報の共有がはるかに容易になりますが、企業、政府、およびクラウド サービス プロバイダーが ID 情報を交換するために SAML を自信を持って採用できるようにするのは、これら 2 つのセキュリティ コンポーネント (適切に実装されている場合) です。

HTH - イアン

于 2012-06-28T14:26:38.040 に答える
4

セキュリティを確保するために、私たちの秘密鍵を使用して応答にデジタル署名し、証明書をサービス プロバイダーと共有します。このようにして、偽の IdP や「中間者」攻撃 (MITM) に対するセキュリティを提供できます。

それとは別に、このトランザクションを HTTP over SSL にすることを常にお勧めします。

最後になりましたが、永続的/一時的な仮名を使用して、IdP と SP の間で情報を交換することもできます。

于 2012-06-30T13:48:00.457 に答える
-4

はい。Security Assertion Markup Language という名前が意味するように、SAML は情報交換用の XML ベースの言語です。SAML がセキュリティ マークアップ言語と呼ばれる理由は、この言語が認証情報、認証情報などのセキュリティおよび ID 関連情報を交換するために特別に定義されているためです。言語のこの機能により、SAML に関して定義された多くのセキュリティ プロトコルとプロファイルがあります。 SSO プロファイル、Web サービス プロファイルなど。

于 2012-06-28T09:41:36.287 に答える