SAML ve Federasyon

SAML (Güvenlik İddiası Biçimlendirme Dili), kimlik doğrulama ve yetkilendirme verilerini değiş tokuş etmek için kullanılan XML tabanlı bir standarttır ve kurumsal SSO alanında baskındır.

• Bir kurumsal kimlik sağlayıcının birçok uygulama için kullanıcının kimliğini doğrulamasına olanak tanır.
• SAML 2.0, OIDC'den daha eskidir ve B2B ile çalışan kimliği alanlarında yerleşikliğini korur.

SAML'yi anlamak, tek bir güven kusurunun bağlı her uygulamayı açığa çıkarabildiği kurumsal federasyonu savunmak için çok önemlidir.

SAML federasyonunun iki ana tarafı vardır.

• Kimlik Sağlayıcı (IdP), kullanıcının kimliğini doğrular ve doğrulama ifadeleri yayımlar (Okta, Entra ID, Ping).
• Hizmet Sağlayıcı (SP), IdP'ye güvenen ve erişim izni veren uygulamadır.

Güven, imzalama sertifikaları ve uç nokta URL'lerini de içeren üst verilerin değiş tokuş edilmesiyle bant dışında oluşturulur.

Temel öğe, IdP'nin bir öznenin kimliğini doğruladığını belirten XML belgesi olan doğrulama ifadesidir.

• Özne, kullanıcıyı tanımlar (NameID).
• Koşullar, geçerlilik aralığını ve hedeflenen kitleyi tanımlar.
• AuthnStatement, kimlik doğrulamasının nasıl ve ne zaman gerçekleştiğini kaydeder.
• AttributeStatement, roller, e-posta ve grup istemlerini taşır.

En yaygın model SP tarafından başlatılan SSO'dur.

• Kullanıcı SP'ye erişir; SP bir AuthnRequest oluşturur ve IdP'ye yönlendirir.
• IdP kullanıcının kimliğini doğrular ve imzalı bir Response nesnesini SP'nin Assertion Consumer Service (ACS) hizmetine POST isteğiyle geri gönderir.
• SP doğrulama ifadesini doğrular ve yerel bir oturum oluşturur.

SAML güvenliği XML dijital imzalarına dayanır. IdP, doğrulama ifadesini ve/veya yanıtı özel anahtarıyla imzalar; SP ise güvenilen sertifikayla doğrular.

• Yalnızca dıştaki yanıtı değil, doğrulama ifadesinin kendisini imzalayın.
• İmzayı iletinin içine gömülmüş bir sertifikaya göre değil, üst verilerden alınan sabitlenmiş bir IdP sertifikasına göre doğrulayın.

SAML saldırılarının çoğu imza doğrulama mantığını hedefler.

XML İmza Sarma, SAML için kullanılan imza saldırısı sınıfıdır. Saldırgan geçerli biçimde imzalanmış bir öğeyi korur ancak uygulama mantığının gerçekte okuduğu ikinci, sahte bir doğrulama ifadesi ekler.

• İmza, özgün parçaya karşı hâlâ doğrulanır.
• Ancak iş mantığı, eklenen imzasız doğrulama ifadesini işler.

Önlem olarak sağlamlaştırılmış bir SAML kitaplığı kullanın, imzalanan öğenin kullanılan öğe olduğunu doğrulayın ve birden fazla ya da belirsiz doğrulama ifadesi içeren belgeleri reddedin.

Bir doğrulama ifadesi hedeflenen SP'ye bağlı olmalıdır. SAML bu konuda açık kısıtlamalar sağlar.

• AudienceRestriction, doğrulama ifadesinin geçerli olduğu SP varlık kimliğini belirtir.
• Alıcı, SubjectConfirmation içindeki ACS URL'siyle eşleşmelidir.

SP bunları zorunlu kılmalıdır. Hedef kitle kontrolünün atlanması, bir uygulama için üretilen doğrulama ifadesinin başka bir uygulamada yeniden oynatılmasına olanak tanır.

Doğrulama ifadeleri kısa ömürlü ve tek kullanımlık kimlik bilgileridir. SP'ler bunu zorunlu kılmalıdır.

• NotBefore ve NotOnOrAfter değerlerine dar bir saat sapmasıyla uyun.
• Doğrulama ifadesinin ID değerini izleyin ve geçerlilik aralığı içinde gerçekleşen her türlü yeniden kullanımı reddedin.
• ACS uç noktasında TLS zorunlu olsun.

Yeniden oynatma izleme mekanizması olmadan ele geçirilmiş bir doğrulama ifadesi süresi dolmadan önce yeniden gönderilebilir.

Federasyon, bazen protokoller arasında çeviri yapan merkezler veya aracı hizmetler aracılığıyla, SSO'yu kuruluş sınırları arasında ölçeklendirir.

• Her güven bağlantısı olası bir zayıf noktadır; ele geçirilmiş bir IdP, her kullanıcının kimliğine bürünebilir.
• Kimlik aracıları SAML ile OIDC arasında köprü kurabilir ve bu da dikkatli öznitelik eşlemesi gerektirir.

Öznitelik eşlemesine en az ayrıcalık ilkesini uygulayın ve beklenmedik yeni SP kayıtlarını izleyin.

Denetlenmeye değer tekrarlayan SAML hata senaryoları:

• İmzanın doğrulanmaması ya da yanıtın imzalı olup bildirimin imzasız olması.
• XML İmza Sarmalama saldırılarına karşı savunmasızlık.
• Eksik hedef kitle/alıcı denetimleri.
• Yeniden oynatma korumasının bulunmaması veya aşırı uzun geçerlilik süreleri.
• SP'de XML Harici Varlık (XXE) ayrıştırması.
• Sabitlenmiş üst veriler yerine iletinin içine gömülü sertifikaya güvenilmesi.

Her ikisi de SSO sağlar, ancak tasarım açısından farklıdır.

• SAML XML kullanır; tarayıcı POST/yeniden yönlendirme bağlamaları vardır, kurumsal ve çalışan ortamlarında yaygındır ve olgun araç desteğine sahiptir.
• OIDC JSON/JWT kullanır; REST ile uyumludur ve mobil uygulamalar ile tek sayfalı uygulamalar için daha uygundur.

Birçok kuruluş her ikisini de kullanır. Savunma ekipleri, saldırı yüzeyi farklı olduğundan, belirli bir uygulamanın kullandığı protokol için bildirim doğrulama kurallarını bilmelidir.

Açıklanan saldırıya karşı en iyi savunmayı seçin.

Önemli çıkarımlar:

• SAML, imzalı bildirimler kullanarak bir IdP ile SP arasında XML tabanlı kurumsal SSO sağlar.
• Güvenlik, sabitlenmiş bir sertifikaya göre doğru XML imza doğrulamasına bağlıdır.
• XML İmza Sarmalama, yeniden oynatma ve XXE saldırılarına karşı savunma yapın.
• Hedef kitle/alıcı kısıtlamalarını ve geçerlilik sürelerini her zaman zorunlu kılın.
• Federasyon güveni ölçeklendirir, ancak ele geçirilmiş bir IdP'nin etkilediği alanı da katlar.