SAML
SAML 2.0 date de 2005 et n’a pas changé depuis : ce qui évolue, ce sont les profils, les usages et les attaques. Voici les repères.
Le travail commence pour échanger des informations de sécurité entre domaines en XML.
Première norme OASIS : assertions d’authentification, d’attributs et d’autorisation.
Corrections. Liberty Alliance verse son travail ID-FF à OASIS.
La version qu’on utilise encore : fusionne SAML 1.1, Liberty ID-FF et Shibboleth. Ajoute les métadonnées, la déconnexion unique (SLO), le chiffrement des assertions, les bindings Redirect, POST et Artifact.
Précisions et corrections de la norme (des errata ont encore suivi, jusqu’en 2012).
Fédération mondiale de la recherche et de l’éducation, bâtie sur les métadonnées SAML signées.
Des chercheurs montrent qu’on peut contourner la vérification de signature en déplaçant les éléments XML. Beaucoup de bibliothèques étaient touchées.
Avec la clé de signature d’un IdP, on fabrique n’importe quelle assertion : accès partout. Repris dans l’attaque SolarWinds fin 2020.
Une faille d’analyse permettait de se faire passer pour un autre utilisateur dans plusieurs bibliothèques SAML.
Des différences d’analyse XML permettaient de contourner la signature. Rappel que le sujet n’est jamais clos.
Sources : historique SAML (saml.xml.org) pour 2001 à 2007 ; les entrées suivantes viennent de publications de sécurité connues. Si vous voyez une erreur, dites-le-nous. Comparez avec la frise OpenID Connect.