SAML वास्तव में सुरक्षा प्रदान करता है?

Question

कुछ लेख और संदर्भ पढ़ने के बाद, मैंने पाया कि वे व्यावहारिक रूप से बताते हैं कि SAML क्या है, इसमें कौन से घटक हैं, यह कैसे काम करता है। इस प्रकार कुछ अच्छे लिंक:

• Good documentation about Shibboleth and SAML?
• What's the difference between ADFS, WIF, WS Federation, SAML, and STS?
• http://en.wikipedia.org/wiki/SAML
• http://saml.xml.org/wiki/saml-introduction
• https://www.oasis-open.org/committees/download.php/27819/sstc-saml-tech-overview-2.0-cd-02.pdf ...

मैं, हालांकि, अभी भी उलझन में इसके बारे में लग रहा है: क्यों कहो यह सुरक्षित है? मेरे विचार में, संक्षेप में, एसएएमएल सिर्फ एक "प्रारूपित" एक्सएमएल प्रतिनिधित्व है। सूचनाओं के आंकड़ों को उच्च तरीके से बदलने के लिए यह एक भाषा या तंत्र है। मुझे नहीं लगता कि यह सुरक्षित है, यह केवल जानकारी का आदान-प्रदान करने के लिए बातचीत या मानक तरीका प्रदान करता है। मुझे नहीं पता कि मेरी समझ सही है या नहीं। क्यों SAML में "सुरक्षा" अभी भी मुझे भ्रमित करती है।

Answer 1

मुझे लगता है कि पढ़ने के बाद आप जो टुकड़ा खो रहे हैं वह यह है कि एसएएमएल को संदेश अखंडता और गोपनीयता सुनिश्चित करने के लिए एक्सएमएल डीएसआईजी और एक्सएमएल ईएनसी चश्मे के उपयोग की आवश्यकता है। जबकि मानकीकृत संदेश प्रारूप और सामान्य नाम पहचानकर्ता पार्टियों के बीच पहचान जानकारी साझा करना अधिक आसान बनाते हैं, यह दो सुरक्षा घटक हैं (जब सही तरीके से कार्यान्वित किया जाता है) जो एसएएमएल को पहचान जानकारी का आदान-प्रदान करने के लिए उद्यमों, सरकारों और क्लाउड सेवा प्रदाताओं द्वारा आत्मविश्वास से अपनाया जाने की अनुमति देता है।

HTH - इयान

Answer 2

हां, एसएएमएल सूचना विनिमय के लिए एक एक्सएमएल आधारित भाषा है क्योंकि सुरक्षा सुरक्षा मार्कअप भाषा का अर्थ है। क्यों SAML को सुरक्षा मार्कअप भाषा कहा जाता है क्योंकि यह भाषा विशेष रूप से सुरक्षा और पहचान संबंधी जानकारी जैसे प्राधिकरण जानकारी, प्रमाणीकरण जानकारी इत्यादि का आदान-प्रदान करने के लिए परिभाषित की जाती है। भाषा की इस क्षमता के कारण एसएएमएल के आसपास परिभाषित कई सुरक्षा प्रोटोकॉल और प्रोफाइल हैं जैसे कि एसएसओ प्रोफाइल, वेब सेवा प्रोफाइल इत्यादि

Answer 3

इसे सुरक्षित हम digitaly हमारे निजी कुंजी के साथ प्रतिक्रिया प्रवेश कर सकते हैं और सेवा provider.In साथ इस तरह से उस में नकली IdP के खिलाफ सुरक्षा और "मैन प्रदान कर सकते हैं प्रमाण पत्र का हिस्सा बनाने के लिए मध्य "हमला (एमआईटीएम)।

इसके अलावा यह हमेशा एसएसएल पर इस लेनदेन को HTTP होने की अनुशंसा की जाती है।

और अंतिम लेकिन कम से कम आप आईडीपी और एसपी के बीच सूचनाओं का आदान-प्रदान करने के लिए लगातार/क्षणिक छद्म शब्द का उपयोग भी नहीं कर सकते हैं।