U bent hier:
Webappinstellingen: SAML-respons versleutelen - Selecteren
Deze beveiligingsinstelling verhult cryptografisch de gehele SAML-definitie die gebruikersidentiteit en autorisatiekenmerken bevat, met behulp van een openbare sleutel die door de serviceprovider is verstrekt vóór verzending.
Controlenaam
Verbonden apps: Webappinstellingen: SAML-respons versleutelen - Selecteren
Aanbevolen configuratie
SAML-respons versleutelen - Selecteren.
Overzicht van besturingselementen
Deze beveiligingsinstelling verhult cryptografisch de gehele SAML-definitie die gebruikersidentiteit en autorisatiekenmerken bevat, met behulp van een openbare sleutel die door de serviceprovider is verstrekt vóór verzending.
Beveiligingsrisico indien niet geconfigureerd
Niet-versleutelde SAML-reacties voor via het web verbonden apps leiden tot blootstelling van gevoelige identiteitskenmerken en autorisatieclaims aan afluisteraars op netwerkniveau die authenticatieverkeer met platte tekst kunnen onderscheppen.
Dreigingsscenario's
Een aanvaller die een man-in-the-middle-aanval uitvoert op een onveilig netwerksegment, legt een SAML-definitie in platte tekst vast om gebruikers-ID's, groepslidmaatschappen en andere persoonsgegevens te extraheren voor sessie-overname of verkenning.
Geschatte CVSS-scorebereik
Hoog (7,0–8,9).
Overwegingen bij risico-impact
Het niet versleutelen van de respons vergemakkelijkt het ongeoorloofd verzamelen van metagegevens van gebruikers en vergroot de kwetsbaarheid van het bedrijf voor diefstal van inloggegevens en misbruik van accounts verderop in de stroom binnen het gebundelde ecosysteem.
Hoger risico wanneer
Het risico is aanzienlijk groter wanneer de SAML-definitie gevoelige aangepaste kenmerken bevat, zoals werknemers-ID's of burgerservicenummers, en wordt overgedragen via openbare of niet-vertrouwde netwerkinfrastructuur.
Laag risico wanneer
Als de organisatie al end-to-end beveiliging van transportlagen verplicht stelt en kortlevende definities gebruikt die zijn beperkt tot specifieke, geverifieerde IP-bereiken.
Overwegingen bij bedrijf en integratie
Het implementeren van definitie-encryptie vereist dat de serviceprovider een geldige privésleutel onderhoudt om de inkomende payload te ontsleutelen, wat een laag certificaatbeheer toevoegt aan de integratielevenscyclus.
Aanbevolen oplossing
Ga naar de webappinstellingen voor de verbonden app, selecteer de optie SAML-respons versleutelen en upload het encryptiecertificaat dat door de serviceprovider is geleverd.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert de encryptie van SAML-responsen als een sterk aanbevolen standaard om de vertrouwelijkheid van identiteitsdefinities te behouden en het lekken van gevoelige gebruikersmetagegevens tijdens de authenticatiehanddruk te voorkomen.
