Cosa è Autenticazione SAML

Cosa è Autenticazione SAML

Che cos’è l’autenticazione SAML?
Le aziende che utilizzano varie app aziendali hanno difficoltà a mantenere la segretezza dei dati e le concessioni di accesso in base ai ruoli utente nell’intero panorama infrastrutturale. SAML (acronimo di Security Assertion Markup Language) si rivela un valido aiuto su questo fronte.

Vediamo di cosa si tratta, come funziona, quali sono i suoi vantaggi, in cosa si differenzia dall’SSO, cosa lo rende simile all’SSO e come aiuta nella verifica dell’accesso all’API per garantire un livello di sicurezza sorprendente.

SAML – Una rapida panoramica

Il lavoro principale di SAML agli IdP (i fornitori di dettagli di identità) di condividere le credenziali interessate all’autenticazione con l’autorità interessata. È lo standard aperto che consente di concedere un accesso unificato per tutti i tipi di app senza compromettere la sicurezza dei dati.

Ecco i concetti fondamentali che dobbiamo sapere su SAML:

• Utilizza l’XML per completare la consueta connessione tra IdP e fornitori di servizi per comunicare in modo affidabile.
• Il processo di autenticazione SAML conferma l’identità dell’utente finale, mentre l’autorizzazione SAML definisce a quali risorse l’utente può accedere.
• Controlla SP, IdP e utenti finali per verificare se l’utente è idoneo a ciò che richiede.
• È uno standard OASIS.
• Garantisce uno scambio sicuro di informazioni.
• Supporta l’attivazione SSO. Tuttavia, questa procedura richiederà la connessione a un IdP esterno e la condivisione dei token XML con esso.

Una rapida occhiata al Single Sign-On (SSO)
Considerato tra i framework di autenticazione più validi, SSO unisce più schermate di accesso. Ciò implica che non dovrai accedere in modo indipendente per la tua app. Invece, 1 set di dati di accesso per i tuoi account funzionerà bene per diverse app SaaS.

In questo modo, l’accesso all’app diventa più rapido, semplice e verificabile. È un aspetto fondamentale delle strategie IAM delle aziende che cercano una convalida dell’accesso all’app senza attriti e migliori implementazioni di sicurezza.

Abilitando l’SSO è possibile usufruire di:

• Password forti, poiché non c’è bisogno di creare più password che condividono somiglianze. Una password forte e complessa è sufficiente per tutti.
• Gli utenti non devono memorizzare diverse password.
• Facile distribuzione MFA che verifica più fattori, poiché la sua attivazione in 1 punto proteggerà varie applicazioni.
• Applicazione rapida della policy di reinserimento della password, poiché gli amministratori hanno un unico punto in cui applicare la policy.
• Gestione delle credenziali interne senza interruzioni perché l’SSO memorizza internamente le password degli utenti e garantisce al team IT un maggiore controllo sul database.
• Recupero immediato della password utente poiché il team IT deve lavorare per recuperare una sola password.

Come funziona SAML?
Vi spieghiamo tutta la procedura in pochi passaggi.

• Innanzitutto, il servizio di identità passa l’input correlato all’accesso dell’utente all’SP. Per la fluidità dei parametri SAML agli SP, ogni utente finale è tenuto ad accedere tramite SSO una volta.
• Successivamente, l’SP contatta gli IdP, chiedendo informazioni sulla credibilità di una richiesta. Questo processo richiede anche il consenso per la configurazione SAML SSO. In questo modo si garantisce che le stesse impostazioni SAML vengano utilizzate per verificare l’identità e autorizzare l’utente/richiesta.

Benefici

• Essendo un formato standard, garantisce alle aziende un approccio aperto, libero da vincoli di compatibilità con la piattaforma e implementazioni da parte dei fornitori.
• Utilizza le directory in modo non vincolato, il che implica che non è necessario archiviare o sincronizzare i dati utente con le directory locali.
• Grazie al supporto SSO, gli utenti finali potranno godere di un’esperienza ottimale nell’accesso alle applicazioni.
• SAML consente alle aziende di riutilizzare le integrazioni per la registrazione/accesso mantenendo lo stesso livello di sicurezza. Riduce i costi di gestione degli account.
• L’onere di mantenere le identità degli utenti viene trasferito all’IdP quando SAML è in funzione. Ciò libera i service giver dai fastidi legati alla registrazione e all’accesso.

Che cosa è l’asserzione SAML?
In parole povere, si tratta di un documento in formato XML che comprende le informazioni sullo stato di autorizzazione dell’utente. Questo dettaglio è offerto da un IdP a un service-giver.

Le sue 3 affermazioni tipo sono:

• L’autenticazione riguarda la convalida della credibilità dell’utente, della tecnica correlata e dei dettagli di monitoraggio della durata della sessione.
• Assigned si occupa di passare con successo i token SAML all’SP. IdP e la directory SP utilizzano gli stessi attributi per confermare l’affidabilità del request-creator.

Infine, l’asserzione del tipo di decisione di autorizzazione spiega dove all’utente viene concesso o meno l’accesso in base alla sua richiesta. Viene inoltre fornita una motivazione dettagliata dietro l’accesso negato, se ciò accade.

Esempio SAML
Di seguito è riportato l’esempio più semplice di come SAML elabora le sue operazioni:

Consideriamo un utente finale, di nome John, che tenta di accedere a un’applicazione aziendale per scopi ufficiali.

• John inizierà una sessione con SSO e completerà la parte di verifica dell’identità della procedura.
• Zoho CRM richiederà all’IdP di condividere i dettagli dell’utente per conferma.
• Lo strumento SaaS accederà ai risultati recuperati per completare la fase di verifica dell’autorità.
• IdP tornerà a questa richiesta in formato SAML. Conterrà le firme digitali di John. In base alle somiglianze tra i dettagli identificativi forniti da John e IdP, il messaggio di ripristino potrebbe contenere anche altri dettagli.
• Lo strumento SaaS riceve la risposta e concede o nega l’accesso, secondo le istruzioni dell’IdP.
• Se l’accesso è consentito, John può utilizzare il suo account Zoho.

SAML contro SSO
SAML aiuta nella verifica dell’identità dell’utente e nel rendere possibile SSO. SSO può esistere da solo e consente agli utenti finali di utilizzare varie applicazioni con dettagli di accesso unificati. SSO può mettere in azione i protocolli SAML standard mentre esegue lo scambio di informazioni poiché non ha protocolli specifici propri. Inoltre, può utilizzare protocolli di terze parti come OpenID per un controllo efficace dell’identità dell’utente tra domini. SAML offre un’ampia gamma di protocolli.

SAML contro OAuth2
A causa delle somiglianze tra scopi chiave, SAML 2.0 e OAuth 2.0 sono spesso considerati la stessa cosa. Sebbene entrambi condividano grandi somiglianze, differiscono l’uno dall’altro per vari aspetti.

Somiglianze

• Entrambi sono necessari per promuovere l’interoperabilità sicura delle applicazioni.
• Entrambi supportano una facile gestione dell’accesso e una rapida integrazione.

Differenze

• OAuth 2.0 presta attenzione all’autorizzazione mentre SAML dà priorità all’autenticazione
• SAML è basato su XML mentre oAuth 2.0 utilizza JSON
• SAML conserva i dati della sessione tramite cookie, mentre nel caso di oAuth vengono utilizzate chiamate API per questo scopo.

Autenticazione API con SAML
Sebbene l’uso più comune di SAML sia supportare la verifica dell’identità dell’utente e abilitare SSO, può rivelarsi altamente fruttuoso per il controllo di genuinità della richiesta nelle API. La verifica dei diritti di accesso dell’utente, per verificare se la richiesta è genuina, è fondamentale dal punto di vista della sicurezza dell’API e può essere ottenuta inviando una richiesta SAML che deve comprendere:

• Richiesta di autenticazione API basata su API di preparazione SAML
• Messaggio SAML che può supportare il processo SSO avviato automaticamente da IdP

È fondamentale che un messaggio di richiesta SAML sia basato su un documento XML codificato che contenga l’elemento radice < Response>.

Il corpo della richiesta deve contenere contenuto, id e realm. I primi due aspetti sono essenziali mentre l’ultimo è facoltativo.

La risposta SAML include access_token (un token SAML che concede o nega l’accesso), username, expires_in, refresh_token e realm.

Conclusioni
SAML e Single Sign-On hanno una stretta relazione tra loro. Sono essenziali per la sicurezza dei dati senza compromessi. Spero che questo articolo ti aiuti a imparare a conoscerli in modo efficiente.

Per altri articoli di settore potete navigare sul nostro blog al seguente LINK.

(fonte)

Innovaformazione, scuola informatica specialistica promuove la cultura IT per lo sviluppo consapevole fra aziende e privati. Trovate l’elenco corsi e l’offerta formativa sul nostro sito QUI.

INFO: info@innovaformazione.net – Tel. 3471012275 (Dario Carrassi)