保證Web服務(wù)安全的SAML

申請免費試用、咨詢電話：400-8352-114

保證Web服務(wù)安全的SAML

安全聲明標(biāo)記語言(Security Assertion Markup Language，SAML)是一種實現(xiàn)Web服務(wù)安全產(chǎn)品之間互操作的建議標(biāo)準(zhǔn)。SAML可以保證端到端、機(jī)構(gòu)內(nèi)部以及從企業(yè)到企業(yè)的安全性，具有成為互操作性標(biāo)準(zhǔn)的潛力。即將得到“促進(jìn)結(jié)構(gòu)化信息標(biāo)準(zhǔn)組織”批準(zhǔn)的SAML 1.0能夠與XML和簡單對象訪問協(xié)議(SOAP)配合使用。隨著企業(yè)越來越多地在Web服務(wù)環(huán)境中部署接入管理解決方案和其他安全產(chǎn)品，SAML開始表現(xiàn)出強(qiáng)大的威力。

SAML 1.0定義了安全域與策略域之間的基于SOAP的互動，支持Web一次登錄(SSO)、認(rèn)證和授權(quán)。SAML 1.0定義了請求和回答信息，安全域交換這些信息來保證認(rèn)證決定、授權(quán)決定和屬于特定用戶與資源的屬性。SAML 1.0還定義了認(rèn)證權(quán)威機(jī)構(gòu)、屬性權(quán)威機(jī)構(gòu)、策略決定點和策略執(zhí)行點等功能性實體。

在具有SAML功能的Web SSO環(huán)境中，用戶可以通過ID/口令等認(rèn)證技術(shù)登錄到主域或源域中。源域利用包含SAML“認(rèn)證聲明”和“屬性聲明”的信息，向一個或多個目的域發(fā)送認(rèn)證決定以及為這一決定提供安全環(huán)境的其他信息。

SAML環(huán)境

在支持Web SSO和瀏覽器/ artifact的最基本的SAML 1.0互操作性環(huán)境中，用戶可以通過以下操作實現(xiàn)與具有SAML功能的Web網(wǎng)站互動。

● 用戶的瀏覽器通常通過HTTP/安全套接層(SSL)訪問源站點(站點起到SAML認(rèn)證管理機(jī)構(gòu)的作用);

● 源站點要求瀏覽器提供用戶ID和口令；

● 瀏覽器通過輸入用戶ID和口令，回答源站點的詢問；

● 源站點調(diào)用外部認(rèn)證服務(wù)器(如輕型目錄訪問協(xié)議目錄)認(rèn)證瀏覽器；

● 瀏覽器通過點擊源站點上的通用資源標(biāo)識(URI)，請求保存在目的服務(wù)器上的特定資源，從而重新定向到源站點的“站點間傳輸服務(wù)”URL上；

● 源站點保持會話并生成一個生存期暫短的SAML認(rèn)證，來聲明一個事件已經(jīng)發(fā)生(根據(jù)認(rèn)證聲明上的條件以及被請求的目的服務(wù)和資源定義的策略);

● 源站點將聲明信息保存在本地緩存中；

● 源站點利用SSL將一個包含SAML artifact(一種8字節(jié)Base64串)的URI返回給瀏覽器，這個附加的SAML artifact指向認(rèn)證聲明并將瀏覽器改向連接到請求的目的站點和資源；

● 目的站點使用SAML artifact從源站點請求/索取這個引用的認(rèn)證聲明(通常通過SSL會話);

● 目的站點保持會話，解析/驗證認(rèn)證聲明信息，并批準(zhǔn)瀏覽器對請求資源的訪問。

工作原理

作為一項為Web服務(wù)提供安全保護(hù)的建議標(biāo)準(zhǔn)，SAML的工作原理如圖所示。

1、 最終用戶的瀏覽器訪問認(rèn)證服務(wù)器，認(rèn)證服務(wù)器詢問用戶ID和口令。

2、 最終用戶輸入ID和口令。認(rèn)證服務(wù)器檢查LDAP目錄，然后認(rèn)證最終用戶。

3、 最終用戶從目的/Web服務(wù)器請求資源，認(rèn)證服務(wù)器開始與目的服務(wù)器的一次會話。

4、認(rèn)證服務(wù)器給最終用戶發(fā)送URI，最終用戶的瀏覽器被指向URI，URI將最終用戶聯(lián)接到Web服務(wù)。

同任何標(biāo)準(zhǔn)一樣，檢驗SAML 1.0能否成為真正標(biāo)準(zhǔn)的決定因素在于是市場的接受程度以及它能否推動Web服務(wù)發(fā)展。為了使SAML真正成為標(biāo)準(zhǔn)，Web安全解決方案廠商正在認(rèn)真解決支持不同SAML 1.0產(chǎn)品互操作性所面臨的許多技術(shù)問題。