關於在公開URL上提供SAML元數據的安全問題

Question

我想知道在公共URL中爲SAML配置提供元數據還是爲元數據文件提供IdP或SP是否存在任何主要安全問題。元數據包含用於加密的公鑰。

如果有任何安全問題，它們是什麼？

Answer 1

不，在提供元數據作爲公共資源時沒有任何安全問題。

通常會在元數據中提供公鑰以驗證簽名（使用公鑰，服務提供者 - 使用者 - 可以驗證身份提供者發送的SAML響應沒有被篡改）。

對於加密（可選在SAML），服務提供商需要將其公鑰發送給身份提供者。使用公鑰，身份提供商將能夠加密響應，並且只有服務提供商（使用私鑰）才能解密該響應。

Answer 2

這取決於您的組織的安全要求。

• 如果您的組織不希望保護公共密鑰材料，那麼你就可以發佈，讓無限的，未經驗證的訪問SAML元數據。

• 如果您的組織要保護公共密鑰材料，然後防止無限的，未經驗證的訪問的SAML元數據。

按照公共密鑰加密，公共密鑰意味着雙方之間自由共享，但在這種情況下，您的組織的安全團隊必須決定公共密鑰材料是否應該提供給意方只或向所有人公開提供。