SAML
SAML 2.0 stammt von 2005 und hat sich seitdem nicht verändert: Es entwickeln sich die Profile, die Nutzungen und die Angriffe. Hier die Eckpunkte.
Die Arbeit am Austausch von Sicherheitsinformationen zwischen Domains in XML beginnt.
Erster OASIS-Standard: Authentifizierungs-, Attribut- und Autorisierungs-Assertions.
Korrekturen. Die Liberty Alliance bringt ihre ID-FF-Arbeit in OASIS ein.
Die noch gebräuchliche Version: vereint SAML 1.1, Liberty ID-FF und Shibboleth. Fügt Metadaten, Single Logout (SLO), Assertion-Verschlüsselung sowie die Bindings Redirect, POST und Artifact hinzu.
Klarstellungen und Korrekturen des Standards (Errata werden weiter verfolgt, bis 2012).
Weltweite Forschungs- und Bildungsföderation auf Basis signierter SAML-Metadaten.
Forscher zeigen, dass die Signaturprüfung durch Verschieben von XML-Elementen umgangen werden kann. Viele Bibliotheken waren betroffen.
Mit dem Signaturschlüssel eines IdP lässt sich jede Assertion fälschen: Zugriff überall. Beim SolarWinds-Angriff Ende 2020 erneut gesehen.
Ein Parsing-Fehler erlaubte es, in mehreren SAML-Bibliotheken einen anderen Benutzer zu imitieren.
Unterschiede beim XML-Parsing erlaubten es, die Signatur zu umgehen. Eine Erinnerung, dass das Thema nie abgeschlossen ist.
Quellen: SAML-Geschichte (saml.xml.org) für 2001 bis 2007; die folgenden Einträge stammen aus bekannten Sicherheitsveröffentlichungen. Wenn Sie einen Fehler sehen, sagen Sie es uns. Vergleichen Sie mit der OpenID-Connect-Zeitleiste.