Audiencia, destinatario y ventana de tiempo

Tres campos dicen a dónde va una aserción, y no son lo mismo. Audience, dentro de Conditions, nombra al proveedor de servicio al que va dirigida, por su entityID: si no es el del SP que la recibe, el SP debe rechazarla, porque fue escrita para otra aplicación. Destination, en la respuesta, y Recipient, en SubjectConfirmationData, nombran la dirección exacta del servicio de consumo al que debía entregarse. La hoja de buenas prácticas de SAML de OWASP pide comprobar las tres contra los valores propios, con comparación exacta.

El caso típico es una organización con dos SP que confían en el mismo IdP: producción y pruebas, o dos productos distintos. Una aserción emitida para uno lleva una firma que también es válida en el otro; lo único que la separa es la audiencia.

Lee validar_condiciones.py y compara la forma en que revisa la audiencia con lo que dice configuracion-sp.yml sobre el entorno de pruebas. Una comparación que solo mira el comienzo del valor deja pasar cualquier entityID que empiece igual. Después busca en registro-acs-octubre.txt la consecuencia.

Conditions trae dos marcas de tiempo: NotBefore, desde cuándo vale, y NotOnOrAfter, el primer instante en que ya no vale. Los IdP suelen emitir aserciones que duran pocos minutos, porque solo sirven para el viaje del IdP al SP. Como los relojes de dos servidores nunca coinciden del todo, el SP admite un margen, y ese margen se mide en segundos o pocos minutos. Un margen de una hora alarga en una hora la vida de cada aserción que se filtre: en el historial de un proxy, en un registro o en un equipo compartido.

Cruza la hora en que se recibió cada aserción aceptada con su NotOnOrAfter.

Una aserción al portador (el método de confirmación bearer, el que usan casi todos los inicios de sesión con navegador) sirve a quien la presente. Por eso el SP debe aceptarla una sola vez: guarda el ID de cada aserción aceptada mientras siga vigente y rechaza cualquier otra con el mismo ID. Las reglas de procesamiento del perfil de inicio de sesión web de SAML lo piden así, y la hoja de OWASP insiste en detectar repeticiones. Lee qué dice configuracion-sp.yml sobre los ID usados y busca la consecuencia en el registro.

El margen de una hora se subió por quejas de Corovita de «sesión vencida». Esas quejas suelen venir de relojes desfasados o de aserciones que el IdP emite con una vida demasiado corta, y se corrigen en su origen. Ninguna de las dos razones justifica que todas las empresas cliente acepten aserciones viejas.