パブリックURLにSAMLメタデータを提供する際のセキュリティ上の問題

Question

パブリックURLでのSAML構成のメタデータの提供と、IdPまたはSPにメタデータファイルを提供することとの大きなセキュリティ上の懸念があるかどうかは疑問です。メタデータは、暗号化のための公開鍵を含む。

セキュリティに関する懸念がある場合は、それは何ですか？

Answer 1

いいえ、公開リソースとしてメタデータを提供する上でセキュリティ上の問題はありません。

署名を検証するためのメタデータ（公開鍵、サービスプロバイダ - コンシューマ - 、アイデンティティプロバイダから送信されたSAML応答が改ざんされていないことを検証できる）に公開鍵が提供されます。

暗号化（SAMLではオプション）の場合、サービスプロバイダは公開鍵をIDプロバイダに送信する必要があります。公開鍵を使用すると、アイデンティティプロバイダは応答を暗号化でき、サービスプロバイダ（秘密鍵を持つ）だけが応答を暗号化できるようになります。

Answer 2

これは、組織のセキュリティ要件によって異なります。

• 組織が公開鍵マテリアルを保護したくない場合は、SAMLメタデータへの無制限と認証されていないアクセスを許可し、公開することができます。

• パブリックキーマテリアルを保護する場合は、SAMLメタデータを無制限かつ認証されていないアクセスから保護します。公開鍵暗号方式を1として

、公開鍵は自由に当事者間で共有されることを意図しているが、この文脈では、組織のセキュリティチームは、公開鍵材料が唯一の目的とする当事者に利用できるようにすべきかどうかを決定する必要がありますかすべての人に公開されています。