Web 应用程序：SAML 策略增强、单点注销、签名验证和加密响应

控件名称

外部客户端应用程序：Web 应用程序（启用 SAML 设置）：SAML 策略增强

推荐配置

启用 SAML 后，配置所需的策略：

• 启用单点注销 - 选择
• 验证请求签名 - 选择
• 验证请求签名 - 选择
• 加密 SAML 响应 - 选择

控制概览

这套安全策略会在注销时全局终止基于 SAML 的会话，所有传入的身份验证请求都经过加密验证，以确保真实性，并且用户身份数据在传输过程中加密。

安全风险（如果未配置）

如果没有这些策略，公司很容易被会话放弃，其中应用程序在用户注销后保持活动状态，以及 SAML 声明封装或注入攻击，其中攻击者伪造身份数据以获得未经授权的访问。

威胁场景

攻击者拦截包含敏感用户属性的明文 SAML 声明，或重放之前捕获的身份验证请求，以绕过登录要求，因为系统未强制执行请求签名或响应加密。

估计的 CVSS 得分范围

高 (7.0–8.9)。

风险影响注意事项

不实施这些控制会导致身份验证握手期间个人身份信息 (PII) 泄露，并允许通过放弃或劫持的会话对服务提供商进行持续的未经授权的访问。

高风险

如果服务提供商处理受监管的数据（例如 HIPAA 或 PCI 合规记录），或者如果用户经常从会话劫持更普遍的公共或非受管网络访问应用程序。

低风险

如果 SAML 集成严格限于内部隔离网络，其中所有流量已通过相互 TLS 加密，并且对设备的物理访问受到严格控制。

业务和集成注意事项

启用这些功能需要服务提供商支持高级 SAML 2.0 功能，包括存储用于解密的私钥的能力和处理全局注销信号的技术逻辑。

建议的补救措施

转到外部客户端应用程序的 SAML 2.0 设置，并选中复选框，以打开单点注销、验证请求签名和加密 SAML 响应。

安全健康审查指导

安全健康审查将签名验证和声明加密的组合确定为联合身份的强制标准，以跨不同的 Trust 边界维护用户数据的完整性和保密性。