Sie befinden sich hier:
Webanwendungseinstellungen: Signieralgorithmus für SAML-Nachrichten – Wählen Sie SHA256 aus
Diese Sicherheitseinstellung gibt die Verwendung der 256-Bit-Variante des sicheren Hash-Algorithmus zum Generieren von digitalen Signaturen für SAML-Behauptungen an.
Steuerelementname
Verbundene Anwendungen: Webanwendungseinstellungen: Signieralgorithmus für SAML-Nachrichten – Wählen Sie SHA256 aus
Empfohlene Konfiguration
Signieralgorithmus für SAML-Nachrichten: Wählen Sie SHA256 aus.
Steuerelementübersicht
Diese Sicherheitseinstellung gibt die Verwendung der 256-Bit-Variante des sicheren Hash-Algorithmus an, um digitale Signaturen für SAML-Behauptungen zu generieren und so die Integrität und Authentizität des Identitätsaustauschs sicherzustellen.
Sicherheitsrisiko, wenn nicht konfiguriert
Das Fehlen oder Verwenden schwacher Signieralgorithmen für SAML-Nachrichten führt zu einer Schwachstelle bei Zertifikatsfälschungen und zur Umgehung des etablierten Identity Trust zwischen dem Anbieter und der Anwendung.
Bedrohungsszenarien
Ein Angreifer nutzt bekannte Kollisionsschwachstellen in veralteten Algorithmen wie SHA-1 aus, um eine gültig aussehende digitale Signatur zu fälschen und so nicht autorisierte administrative Ansprüche in den Authentifizierungs-Flow einzuschleusen.
Geschätzter CVSS-Bewertungsbereich
Hoch (7,0–8,9).
Überlegungen zu Risikoauswirkungen
Wenn Sie keine modernen Hashing-Standards verwenden, können Sie die Behauptungen erfolgreich ändern und Identitäts-Spoofing durchführen, was zu einer vollständigen Kompromittierung des Verbundzugriffsverwaltungssystems führen kann.
Höheres Risiko, wenn
Wenn der Serviceanbieter den Signaturablauf nicht erzwingt oder wenn der zum Signieren verwendete private Schlüssel in einem softwarebasierten Repository ohne hardwaregestützten Schutz gespeichert wird.
Geringes Risiko, wenn
Wenn die Organisation bereits die Verwendung kurzlebiger SAML-Behauptungen vorschreibt und die Multi-Faktor-Authentifizierung für jeden Verbundanmeldeversuch erzwingt.
Überlegungen zu Unternehmen und Integration
Die Umstellung auf SHA-256 stellt die Einhaltung moderner Branchensicherheitsstandards sicher. Es muss jedoch bestätigt werden, dass der empfangende Serviceanbieter kryptografische Hashes mit 256 Bit verarbeiten kann.
Empfohlene Sanierung
Wechseln Sie zu den Webanwendungseinstellungen für die verbundene Anwendung und aktualisieren Sie das Feld "Signaturalgorithmus", um SHA256 auszuwählen, bevor Sie die Konfiguration speichern.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsüberprüfung identifiziert die Erzwingung der SHA-256-Signatur als dringend empfohlenen Standard, um kryptografische Angriffe zu verhindern und sicherzustellen, dass alle Identitätsbehauptungen resistent gegen unbefugte Änderungen bleiben.
