我们的应用程序具有与 3 个不同 (Shibboleth) IdP 的 SAML2 SSO 集成。我们正在尝试添加第四个（也是 Shibboleth），但遇到了一些问题，因为我们的应用程序期望所有 SSO 响应都经过验证签名。其他 3 个正在签署他们的响应，但第 4 个没有，并且犹豫是否添加自定义配置来强制对我们的应用程序进行签名。
从技术上讲，我可以修改我们的应用程序以接受未签名的 SSO 响应，但我想知道我是否应该这样做。允许未签名的 SSO 响应有哪些陷阱？是否存在安全漏洞？
是否有任何 Shibboleth（或其他 SAML2 SSO）文档建议将签名响应作为最佳实践？
遵循 SAML 2.0 规范对 IdP 的唯一要求是对断言进行数字签名（请参阅http://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf- 第 4.1.3.5 节）。这足以判断来自 IdP 的 SSO 操作是否应该受到与其联合的 SP 的信任。
签署外部响应是可选的。它有一些安全优势，例如防止消息插入或修改（请参阅第 6.1.3/6.1.5 节）http://docs.oasis-open.org/security/saml/v2.0/saml-sec-consider-2.0-os.pdf) - 但在实践中，它经常被省略，而不是依赖 SSL/TLS。
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
