Una federación mal configurada

Una aplicación federada recibe una afirmación que dice quién es la persona. Si no comprueba que esa afirmación está firmada por el proveedor en el que confía, no puede distinguir una auténtica de una escrita por cualquiera que sepa su formato. La firma es lo que convierte el mensaje en una prueba.

La configuración de cada aplicación está en la tabla configuracion_sp (la aplicación es el «proveedor de servicio» de la federación). La columna valida_firma dice si comprueba la firma.

Lee configuracion_sp y busca, en la columna valida_firma, la aplicación que no comprueba la firma. Es el hallazgo de mayor gravedad de la tabla: sin la firma, el resto de las comprobaciones pierde sentido.

Una afirmación lleva dentro la audiencia, es decir, la aplicación a la que va dirigida. Si la aplicación no comprueba que la audiencia sea ella, aceptaría una afirmación emitida para otra aplicación distinta. Es un fallo de otra naturaleza que el de la firma, porque la firma puede estar bien y la afirmación igual no era para esta aplicación. La columna es valida_audiencia.

Cada aplicación debería aceptar afirmaciones solo de los proveedores de identidad con los que hay un acuerdo. La columna emisores_aceptados lo dice. Una aplicación que acepta «cualquier emisor» ha cambiado la confianza acordada por una confianza abierta: cualquier proveedor que alguien configure podría dar fe de una persona.

La aplicación tiene que reconocer a la persona en cada inicio de sesión con un dato de la afirmación. Si usa el correo, y los correos se reasignan, la persona que hereda una dirección heredaría también la cuenta de quien la tuvo antes. Lo seguro es un identificador que no cambie ni se reutilice. La columna es identificador_usuario.