SAML
SAML 2.0 data de 2005 y no ha cambiado desde entonces: lo que evoluciona son los perfiles, los usos y los ataques. Estos son los hitos.
Empieza el trabajo para intercambiar información de seguridad entre dominios en XML.
Primer estándar de OASIS: aserciones de autenticación, atributos y autorización.
Correcciones. Liberty Alliance aporta su trabajo ID-FF a OASIS.
La versión aún en uso: fusiona SAML 1.1, Liberty ID-FF y Shibboleth. Añade metadatos, cierre de sesión único (SLO), cifrado de aserciones, los bindings Redirect, POST y Artifact.
Aclaraciones y correcciones del estándar (erratas aún seguidas, hasta 2012).
Federación mundial de investigación y educación, basada en metadatos SAML firmados.
Unos investigadores muestran que la verificación de firmas puede eludirse moviendo elementos XML. Muchas bibliotecas se vieron afectadas.
Con la clave de firma de un IdP se puede falsificar cualquier aserción: acceso en todas partes. Visto de nuevo en el ataque a SolarWinds a finales de 2020.
Un fallo de análisis permitía suplantar a otro usuario en varias bibliotecas SAML.
Diferencias en el análisis del XML permitieron eludir la firma. Un recordatorio de que el tema nunca está cerrado.
Fuentes: historia de SAML (saml.xml.org) para 2001 a 2007; las entradas siguientes proceden de publicaciones de seguridad conocidas. Si ve un error, díganoslo. Compare con la línea de tiempo de OpenID Connect.