SAML dan Federasi

SAML (Bahasa Markup Pernyataan Keamanan) adalah standar berbasis XML untuk bertukar data autentikasi dan otorisasi, yang dominan dalam SSO perusahaan.

• SAML memungkinkan penyedia identitas korporat menjamin identitas pengguna kepada banyak aplikasi.
• SAML 2.0 lebih dahulu ada daripada OIDC dan tetap mengakar kuat dalam identitas B2B serta tenaga kerja.

Memahami SAML sangat penting untuk melindungi federasi perusahaan, karena satu kelemahan kepercayaan dapat mengekspos setiap aplikasi yang terhubung.

Federasi SAML memiliki dua pihak utama.

• Penyedia Identitas (IdP) mengautentikasi pengguna dan menerbitkan pernyataan (Okta, Entra ID, Ping).
• Penyedia Layanan (SP) adalah aplikasi yang memercayai IdP dan memberikan akses.

Kepercayaan dibangun di luar jalur dengan bertukar metadata, termasuk sertifikat penandatanganan dan URL titik akhir.

Artefak utamanya adalah pernyataan, yaitu dokumen XML yang menyatakan bahwa IdP telah mengautentikasi suatu subjek.

• Subjek mengidentifikasi pengguna (NameID).
• Kondisi menentukan periode validitas dan audiens yang dituju.
• AuthnStatement mencatat bagaimana dan kapan autentikasi berlangsung.
• AttributeStatement membawa klaim peran, alamat surel, dan grup.

Pola yang paling umum adalah SSO yang dimulai oleh SP.

• Pengguna membuka SP, yang membuat AuthnRequest lalu mengalihkan pengguna ke IdP.
• IdP mengautentikasi pengguna dan mengirimkan Response bertanda tangan melalui POST ke Assertion Consumer Service (ACS) milik SP.
• SP memvalidasi pernyataan dan membuat sesi lokal.

Keamanan SAML bertumpu pada tanda tangan digital XML. IdP menandatangani pernyataan (dan/atau respons) dengan kunci privatnya; SP memverifikasinya menggunakan sertifikat tepercaya.

• Tandatangani pernyataan itu sendiri, bukan sekadar respons luarnya.
• Verifikasi tanda tangan terhadap sertifikat IdP yang dipatok dari metadata, bukan sertifikat yang disematkan dalam pesan.

Sebagian besar serangan SAML menargetkan logika validasi tanda tangan.

Pembungkusan Tanda Tangan XML adalah kelas serangan tanda tangan pada SAML. Penyerang mempertahankan elemen yang ditandatangani secara valid, tetapi menambahkan pernyataan palsu kedua yang sebenarnya dibaca oleh logika aplikasi.

• Tanda tangan tetap lolos verifikasi terhadap fragmen asli.
• Namun, logika bisnis memproses pernyataan yang disisipkan dan tidak bertanda tangan.

Mitigasi: gunakan pustaka SAML yang diperkuat, validasi bahwa elemen yang ditandatangani adalah elemen yang digunakan, dan tolak dokumen dengan banyak pernyataan atau pernyataan yang ambigu.

Pernyataan harus terikat pada SP yang dituju. SAML menyediakan pembatasan yang jelas.

• AudienceRestriction menyebutkan ID entitas SP yang menjadi tujuan validitas pernyataan.
• Penerima dalam SubjectConfirmation harus cocok dengan URL ACS.

SP harus menerapkan pembatasan ini. Melewatkan pemeriksaan audiens memungkinkan pernyataan yang diterbitkan untuk satu aplikasi diputar ulang ke aplikasi lain.

Pernyataan adalah kredensial berumur pendek dan sekali pakai. SP harus menerapkan aturan tersebut.

• Patuhi NotBefore dan NotOnOrAfter dengan toleransi perbedaan jam yang ketat.
• Lacak ID pernyataan dan tolak setiap penggunaan ulang selama periode validitas.
• Wajibkan TLS pada titik akhir ACS.

Tanpa pelacakan pemutaran ulang, pernyataan yang disadap dapat dikirimkan kembali sebelum kedaluwarsa.

Federasi memperluas SSO melintasi batas organisasi, terkadang melalui hub atau perantara yang menerjemahkan antarprotokol.

• Setiap tautan kepercayaan merupakan titik lemah potensial; penyedia identitas yang disusupi dapat menyamar sebagai setiap pengguna.
• Perantara identitas dapat menjembatani SAML dan OIDC, sehingga memerlukan pemetaan klaim yang cermat.

Terapkan hak akses minimum pada pemetaan atribut dan pantau pendaftaran SP baru yang tidak terduga.

Mode kegagalan SAML yang berulang dan layak diaudit:

• Tanda tangan tidak diverifikasi, atau respons ditandatangani tetapi asersi tidak.
• Rentan terhadap Pembungkusan Tanda Tangan XML.
• Pemeriksaan audiens/penerima tidak ada.
• Tidak ada perlindungan pemutaran ulang atau jendela validitas yang terlalu panjang.
• Penguraian Entitas Eksternal XML (XXE) pada SP.
• Mempercayai sertifikat yang disematkan dalam pesan, bukan metadata yang dipatok.

Keduanya menyediakan SSO, tetapi memiliki desain yang berbeda.

• SAML XML, pengikatan POST/pengalihan peramban, banyak digunakan di lingkungan perusahaan/tenaga kerja, serta memiliki perkakas yang matang.
• OIDC JSON/JWT, ramah REST, dan lebih cocok untuk perangkat seluler serta SPA.

Banyak organisasi menjalankan keduanya. Para pembela harus mengetahui aturan validasi asersi untuk protokol yang digunakan oleh aplikasi tertentu, karena permukaan serangannya berbeda.

Pilih pertahanan terbaik untuk serangan yang dijelaskan.

Hal-hal penting:

• SAML adalah SSO perusahaan berbasis XML antara penyedia identitas dan SP menggunakan asersi yang ditandatangani.
• Keamanan bergantung pada validasi tanda tangan XML yang benar terhadap sertifikat yang dipatok.
• Lindungi sistem dari Pembungkusan Tanda Tangan XML, pemutaran ulang, dan XXE.
• Selalu terapkan pembatasan audiens/penerima dan jendela validitas.
• Federasi memperluas kepercayaan, tetapi memperbesar radius dampak jika penyedia identitas disusupi.