SAML: aserciones, firmas y audiencias

Una aserción SAML viaja a través del navegador del usuario, así que el servicio que la recibe no puede fiarse del camino: solo de la firma. Esa firma la pone el proveedor de identidad y dice dos cosas a la vez: que el contenido no cambió y que lo emitió quien dice emitirlo.

Pero la firma sola no basta, porque una aserción firmada es válida para quien sea capaz de presentarla. Por eso lleva dentro la audiencia: el nombre del servicio para el que se emitió. Cada servicio tiene su propio identificador de entidad y debe exigir que la audiencia de la aserción coincida con él. También lleva una ventana de validez corta y el destinatario al que debía llegar; los dos existen para que una aserción capturada deje de servir enseguida y no sirva en otro sitio.

Si un servicio no exige firma, cualquier documento con el formato esperado le sirve, y toda la seguridad del inicio de sesión único desaparece de golpe. Es el hallazgo más grave que se encuentra en un despliegue de SAML y, a la vez, uno de los más frecuentes: suele venir de una puesta en marcha apurada en la que se desactivó la validación «para que funcionara» y nadie volvió a activarla.

Abre el laboratorio y mira la configuración de los cuatro servicios.

Un servicio puede exigir firma impecablemente y seguir equivocado si tiene configurada como audiencia el nombre de otro. Cuando eso pasa, el servicio acepta aserciones emitidas para su vecino y rechaza las suyas, y como alguien hizo que «funcionara» copiando la configuración de al lado, nadie lo nota hasta que se audita.

Vuelve al laboratorio y compara las dos columnas de nombres.

Las aserciones traen una ventana de validez de pocos minutos. Esa ventana es lo único que impide que una aserción guardada hace días siga abriendo la puerta, y solo sirve si el servicio la compara con su propio reloj. La prueba del equipo del cliente es del 9 de septiembre de 2027; una de las cinco aserciones había dejado de valer una semana antes y aun así entró.

Tienes tres defectos de configuración en cuatro servicios: uno que no exige firma, uno con la audiencia de otro y uno que no mira la ventana de validez. El informe los ordena por lo que reduce el riesgo antes, no por el orden en que aparecieron.