Du är här:
Inställningar för arbetsyteapp: SAML-initiering för arbetsyta
Denna säkerhetsinställning avgör hur autentiseringshandskakningen utlöses.
Kontrollnamn
Anslutna appar: Inställningar för arbetsyteapp: SAML-initieringsmetod - IdP-initierad | SP Initierad
Rekommenderad konfiguration
SAML-initieringsmetod - IdP-initierad | SP-initierad.
Kontrollöversikt
Denna säkerhetsinställning avgör om autentiseringshandskakningen utlöses av att programmet begär en identitetsbekräftelse från leverantören (SP-initierad) eller av att leverantören pushar en oönskad försäkran till programmet (IdP-initierad).
Säkerhetsrisk om den inte är konfigurerad
Svaga SAML-initieringsmetoder, särskilt den omfattande användningen av IdP-initierade flöden utan ytterligare skyddsåtgärder, leder till en risk för obehörig sessionsinitiering och förbigång av primära identitetsutmaningar på grund av avsaknaden av ett lokalt spårat begärandeläge.
Hotscenarier
En attackerare utför en CSRF-attack för inloggning (Cross-Site Request Forgery) genom att lura en användares webbläsare att skicka en förfalskad eller repriserad SAML-kontroll till tjänstleverantören, vilket effektivt kapar målprogramsessionen.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Att misslyckas med att prioritera SP-inledda flöden förhindrar programmet från att validera att ett inkommande SAML-svar motsvarar en specifik, unik autentiseringsbegäran som det nyligen skapat, vilket underlättar oönskade inloggningsförsök.
Högre risk när
Vid användning av IdP-inledda flöden för administrativa arbetsyteappar är denna metod sårbar för "Avlyssning"-attacker där en kontroll kan samlas in och skickas till ACS URL utan användarens direkta interaktion med appen.
Låg risk när
När SP-inledda flöden tillämpas, eftersom programmet använder ett unikt attribut "InResponseTo" för att kryptografiskt binda SAML-svaret till den ursprungliga begäran, vilket upphäver oönskade kontrollattacker.
Att tänka på vad gäller affärer och integration
SP-initierad är det säkra valet för djuplänkning direkt till programposter, medan IdP-initierad endast är lämplig för breda "Appstartare"-användningsfall där enkel åtkomst från en central portal uppväger risken för oönskade kontroller.
Rekommenderad åtgärd
Gå till Inställningar för arbetsyteapp för den anslutna appen och välj Tjänsteleverantör initierad för interna integreringar med hög garanti för att säkerställa att varje session spåras från åtkomstpunkten.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar tjänstleverantörinitierad SAML som den starkt rekommenderade standarden för säkra arbetsyteintegreringar, samtidigt som den medger att identitetsleverantörinitierade flöden är ett giltigt sekundärt alternativ för centraliserad portalåtkomst när risker för sessionsövertagande minskas genom andra kompenserande kontroller.
