Sie befinden sich hier:
Webanwendung: SAML-Richtlinienstärkung, Single Logout, Signaturüberprüfung und Verschlüsselung von Antworten
Diese Suite von Sicherheitsrichtlinien beendet SAML-basierte Sitzungen global bei der Abmeldung, sodass alle eingehenden Authentifizierungsanforderungen kryptographisch auf Echtheit überprüft werden.
Steuerelementname
Externe Client-Anwendungen: Webanwendung (SAML-Einstellungen aktivieren): SAML-Richtlinienstärkung
Empfohlene Konfiguration
Konfigurieren Sie nach dem Aktivieren von SAML die erforderlichen Richtlinien:
- Single Logout aktivieren – Auswählen
- Anforderungssignaturen überprüfen – Auswählen
- Anforderungssignaturen überprüfen – Auswählen
- SAML-Antwort verschlüsseln – Auswählen
Steuerelementübersicht
Diese Suite von Sicherheitsrichtlinien beendet SAML-basierte Sitzungen global bei der Abmeldung, sodass alle eingehenden Authentifizierungsanforderungen kryptographisch auf Echtheit überprüft werden und dass Benutzeridentitätsdaten während der Übertragung verschlüsselt werden.
Sicherheitsrisiko, wenn nicht konfiguriert
Ohne diese Richtlinien ist ein Unternehmen anfällig für Sitzungsabbrüche, wenn eine Anwendung nach der Abmeldung eines Benutzers aktiv bleibt, sowie SAML-Behauptungs-Wrapping- oder Injection-Angriffe, bei denen ein Angreifer Identitätsdaten fälscht, um nicht autorisierten Zugriff zu erhalten.
Bedrohungsszenarien
Ein Angreifer fängt eine SAML-Behauptung im Nur-Text-Format mit vertraulichen Benutzerattributen ab oder gibt eine zuvor erfasste Authentifizierungsanforderung erneut wieder, um die Anmeldeanforderungen zu umgehen, da das System weder Anforderungssignaturen noch die Antwortverschlüsselung erzwingt.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Wenn diese Steuerelemente nicht implementiert werden, werden während des Authentifizierungs-Handshakes personenbezogene Daten (Personally Identifiable Information, PII) zur Verfügung gestellt und der Zugriff auf den Serviceanbieter kann weiterhin nicht autorisiert werden, indem Sitzungen abgebrochen oder gekapert werden.
Höheres Risiko, wenn
Wenn der Serviceanbieter regulierte Daten verarbeitet (z. B. HIPAA- oder PCI-konforme Datensätze) oder wenn Benutzer häufig über öffentliche oder nicht verwaltete Netzwerke auf die Anwendung zugreifen, in denen Sitzungs-Hijacking häufiger vorkommt.
Geringes Risiko, wenn
Wenn die SAML-Integration streng auf ein internes, isoliertes Netzwerk beschränkt ist, in dem der gesamte Datenverkehr bereits über gegenseitiges TLS verschlüsselt ist und der physische Zugriff auf Geräte streng kontrolliert wird.
Überlegungen zu Unternehmen und Integration
Zum Aktivieren dieser Funktionen muss der Serviceanbieter erweiterte SAML 2.0-Funktionen unterstützen, einschließlich der Möglichkeit, private Schlüssel zur Entschlüsselung zu speichern, und der technischen Logik zum Verarbeiten globaler Abmeldesignale.
Empfohlene Sanierung
Wechseln Sie zu den SAML 2.0-Einstellungen der externen Client-Anwendung und aktivieren Sie die Kontrollkästchen, um Single Logout zu aktivieren, Anforderungssignaturen zu überprüfen und die SAML-Antwort zu verschlüsseln.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung identifiziert die Kombination aus Signaturüberprüfung und Behauptungsverschlüsselung als obligatorischen Standard für Verbundidentität, um die Integrität und Vertraulichkeit von Benutzerdaten über verschiedene Trust Grenzen hinweg zu wahren.
