詳細情報:
Web アプリケーション設定: Encrypt SAML Response - Select Control (SAML 応答を暗号化 - 制御を選択)
このセキュリティ設定は、送信前にサービスプロバイダーから提供された公開鍵を使用して、ユーザー ID と認証属性を含む SAML アサーション全体を暗号化して難読化します。
コントロール名
接続アプリケーション: Web アプリケーション設定: [SAML を暗号化] 応答 - [選択]
推奨設定
Encrypt SAML response (SAML 応答を暗号化) - 選択します。
制御の概要
このセキュリティ設定は、送信前にサービスプロバイダーから提供された公開鍵を使用して、ユーザー ID と認証属性を含む SAML アサーション全体を暗号化して難読化します。
設定されていない場合のセキュリティリスク
Web 接続アプリケーションの暗号化されていない SAML 応答は、プレーンテキスト認証トラフィックを傍受できるネットワークレベルの盗聴者に機密 ID 属性と認証要求が公開される可能性があります。
脅威のシナリオ
安全でないネットワークセグメントに対して中間者攻撃を実行している攻撃者は、プレーンテキスト SAML アサーションを取得して、セッションハイジャックや偵察のためにユーザー ID、グループメンバーシップ、その他の個人識別情報を抽出します。
推定 CVSS スコア範囲
高 (7.0 ～ 8.9)。
リスクの影響に関する考慮事項
応答を暗号化しないと、ユーザーメタデータの不正収集が促進され、統合エコシステム全体でログイン情報の盗難やダウンストリームアカウントの悪用に対する会社の脆弱性が高まります。
より高いリスク
SAML アサーションに従業員 ID や社会保障番号などの機密カスタム属性が含まれ、パブリックネットワークインフラストラクチャまたは信頼できないネットワークインフラストラクチャを介して送信される場合、リスクが非常に高くなります。
低リスク
組織がすでにエンドツーエンドのトランスポート層セキュリティを義務付けており、検証済みの特定の IP 範囲に制限された存続期間の短いアサーションを使用している場合。
ビジネスと統合に関する考慮事項
アサーションの暗号化を実装するには、サービスプロバイダーが受信ペイロードを復号化するための有効な非公開鍵を保持する必要があります。これにより、インテグレーションライフサイクルに証明書管理のレイヤーが追加されます。
推奨される修復
[接続アプリケーションの Web アプリケーション設定] に移動し、[SAML 応答を暗号化] オプションを選択して、サービスプロバイダーから提供された暗号化証明書をアップロードします。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
Security Health Review では、ID アサーションの機密性を維持し、認証ハンドシェイク中の機密ユーザーメタデータの漏洩を防ぐために、SAML 応答の暗号化を強く推奨する標準として特定します。
