breadcrumbDescription
Lærredsappindstillinger: Lærreds- SAML-initieringskontrol
Denne sikkerhedsindstilling bestemmer, hvordan godkendelseshåndtrykket udløses.
Kontrolnavn
Tilsluttede apps: Lærredsappindstillinger: SAML-initieringsmetode - IdP-initieret | SP-initieret
Anbefalet konfiguration
SAML-initieringsmetode - IdP-initieret | SP-initieret.
Kontroller oversigt
Denne sikkerhedsindstilling bestemmer, om godkendelseshåndtrykket udløses af applikationen, der anmoder om en identitetspåstand fra udbyderen (SP-initieret), eller af udbyderen, der overfører en uopfordret påstand til applikationen (IdP-initieret).
Sikkerhedsrisiko, hvis den ikke er konfigureret
Svage SAML-initieringsmetoder, specifikt den omfattende brug af IdP-initierede forløb uden yderligere sikkerhedsforanstaltninger, fører til en risiko for uautoriseret sessionsinitiering og en tilsidesættelse af primære identitetsudfordringer på grund af manglen på en lokalt sporet anmodningstilstand.
Trusselscenarier
En angriber udfører et login-CSRF-angreb (Cross-Site Request Forgery) ved at narre en brugers browser til at indsende en forfalsket eller afspilet SAML-påstand til serviceudbyderen og effektivt overtage målapplikationssessionen.
Estimeret CVSS-scoringsinterval
Høj (7,0-8,9).
Overvejelser i forbindelse med risikopåvirkning
Hvis du ikke prioriterer SP-initierede forløb, forhindres applikationen i at validere, at et indgående SAML-svar svarer til en specifik, entydig godkendelsesanmodning, den har genereret for nylig, hvilket gør det nemmere at foretage uønskede loginforsøg.
Højere risiko når
Når du bruger IdP-initierede forløb for administrative lærredsapps, da denne metode er sårbar over for "optagelses"-angreb, hvor en påstand kan registreres og sendes til ACS-URL'en uden brugerens direkte interaktion med appen.
Lav risiko når
Når SP-initierede forløb håndhæves, da applikationen bruger en unik "InResponseTo"-attribut til kryptografisk at binde SAML-svaret til den oprindelige anmodning, hvilket fortryder uanmodede påstandsanfald.
Overvejelser i forbindelse med forretning og integration
SP-Initiated er det sikre valg for dyblinkning direkte i applikationsregistreringer, mens IdP-Initiated kun er egnet til brede "Appstarter"-anvendelsessituationer, hvor nem adgang fra en central portal opvejer risikoen for uopfordrede påstande.
Anbefalet rettelse
Gå til Lærredsappens indstillinger for den tilsluttede app, og vælg Serviceudbyderinitieret for interne integrationer med høj sikring for at sikre, at hver session spores fra adgangspunktet.
Vejledning til sikkerhedstilstandsgennemgang
Sikkerhedstilstandsgennemgang identificerer serviceudbyderinitieret SAML som den stærkt anbefalede standard for sikre lærredsintegrationer, mens den anerkender, at identitetsudbyderinitierede forløb er en gyldig sekundær indstilling for centraliseret portaladgang, når sessionsovertagelsesrisici reduceres af andre kompenserende kontroller.
