SAML-Antwort-Decodierer

SAML (Security Assertion Markup Language) ist ein XML-basierter, offener Standard zur Austausch von Authentifizierungs- und Autorisierungsdaten zwischen einem Identity Provider (IdP) und einem Service Provider (SP). Der IdP authentisiert den Benutzer, gibt dann ein signiertes XML-Dokument aus, das der SP vertraut, um den Zugriff zu gewähren – was Single Sign-On zwischen unabhängigen Webanwendungen ermöglicht.

Eine SAML-Antwort ist die äußere Hülle, die vom IdP an den SP gesendet wird und Protokollmetadaten wie Status, Destination und InResponseTo enthält. Die SAML-Behauptung ist der Inhalt innerhalb dieser Antwort – sie enthält die tatsächlichen Identitätsinformationen: NameID, AuthnStatement, Conditions und AttributeStatement. Eine Antwort kann eine oder mehrere Behauptungen enthalten.

NotBefore und NotOnOrAfter sind Zeitintervallattribute im Conditions-Element, die festlegen, wann eine Behauptung gültig ist. Der SP muss jede Behauptung ablehnen, die vor NotBefore oder ab NotOnOrAfter eingereicht wird. Das Intervall ist meist nur einige Minuten breit, um Replay-Angriffe zu minimieren, weshalb eine Uhrzeitverschiebung zwischen IdP und SP eine häufige Ursache für SAML-Fehler ist.

AudienceRestriction nennt den beabsichtigten Service Provider (die Entity-ID des SP) für die Behauptung. Der SP muss Behauptungen ablehnen, deren Audience nicht mit seiner eigenen konfigurierten Entity-ID übereinstimmt. Dieses Binding verhindert, dass eine für eine Anwendung ausgestellte Behauptung gegen eine andere verwendet wird – selbst wenn beide den gleichen IdP vertrauen.

HTTP-Redirect legt die SAML-Nachricht in eine URL-Abfragezeichenkette, weshalb sie DEFLATE-komprimiert und base64-gecodet sein muss, um in die URL zu passen. Es wird üblicherweise für AuthnRequests von SP an IdP verwendet. HTTP-POST übermittelt die Nachricht als verborgenes Formularfeld, das keine Grenze hat und keine Kompression erfordert – es ist das Binding, das für die SAML-Antwort vom IdP an den SP verwendet wird.