Вы находитесь здесь:
Веб-приложение: Укрепление политик SAML, единый выход, проверка подписи и шифрование ответа
Этот пакет политик безопасности завершает сеансы на основе SAML глобально после выхода, что все входящие запросы проверки подлинности проверяются криптографически на подлинность.
Управление именем
Приложения внешних клиентов: Веб-приложение (Включить параметры SAML): Укрепление политики SAML
Рекомендованная конфигурация
После включения SAML настройте обязательные политики:
- Включить единый выход - Выбрать
- Проверка подписей запроса - Выбрать
- Проверка подписей запроса - Выбрать
- Шифрование ответа SAML - Выбрать
Общие сведения о контроле
Этот пакет политик безопасности завершает сеансы на основе SAML глобально после выхода, что все входящие запросы проверки подлинности проверяются криптографически на подлинность и что данные удостоверения пользователя шифруются во время транзита.
Риск безопасности, если он не настроен
Без этих политик компания уязвима перед отказом от сеанса, когда приложение остается активным после выхода пользователя, а также перед переносом утверждений SAML или атаками инъекций, когда взломщик подделывает идентификационные данные для получения несанкционированного доступа.
Сценарии угроз
Злоумышленник перехватывает простотекстовое утверждение SAML, содержащее конфиденциальные атрибуты пользователя, или воспроизводит ранее собранный запрос проверки подлинности, чтобы обойти требования входа, поскольку система не применяет подписи запроса или шифрование ответа.
Примерный диапазон оценки CVSS
Высокий (7,0-8,9).
Рекомендации по влиянию риска
Если эти средства управления не внедрены, они приводят к открытию персональных данных (PII) во время рукопожатия проверки подлинности и позволяют постоянно получать несанкционированный доступ к поставщику услуг посредством прекращенных или перехваченных сеансов.
Повышенный риск при
Если поставщик услуг обрабатывает регулируемые данные (например, записи, соответствующие протоколу HIPAA или протоколу PCI) или если пользователи часто заходят в приложение из общедоступных или неуправляемых сетей, где перехват сеанса более распространен.
Низкий риск при
Если интеграция SAML строго ограничена внутренней изолированной сетью, где весь трафик уже зашифрован посредством взаимного TLS и физический доступ к устройствам жестко контролируется.
Рекомендации по бизнесу и интеграции
Включение этих функций требует поддержки расширенных возможностей SAML 2.0 поставщиком услуг, включая возможность хранения личных ключей для расшифровки и техническую логику для обработки глобальных сигналов выхода.
Рекомендованное исправление
Перейдите в параметры SAML 2.0 приложения внешнего клиента и установите флажки для включения единого выхода, проверки подписей запросов и шифрования ответа SAML.
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет сочетание проверки подписи и шифрования утверждения в качестве обязательного стандарта для федеративной идентификации, чтобы поддерживать целостность и конфиденциальность данных пользователей в разных границах Trust.
