Comment la norme SAML fournit des services d'authentification unique

Liens rapides

• Ne faites confiance à personne

• Qu'est-ce que SAML

• Scénarios de communication SAML

• Assertions SAML

• Qu'en est-il d'OAuth et de WS-FED ?

• Halte, qui y va ?

Les réseaux d’authentification unique et Zero Trust dépendent de la transmission sécurisée des informations d’identification entre les utilisateurs, les fournisseurs d’identité et les fournisseurs de services. SAML est le ciment qui permet que cela se produise.

Ne faites confiance à personne

Comme George Smiley dans Bricoleur, tailleur, soldat, espion de John Le Carré, vous ne devriez faire confiance à personne et soupçonner tout le monde. Ce n’est pas parce qu’une personne est authentifiée et à l’intérieur du périmètre de votre réseau qu’elle est celle qu’elle prétend être. Ni qu’il faut leur faire confiance.

Le modèle de sécurité émergent ne consiste pas en des défenses périmétriques multicouches fortement gardées. L'identité est le nouveau périmètre.

Les réseaux Zero Trust forcent l'authentification à plusieurs reprises lorsqu'un utilisateur se déplace sur le réseau, accède aux applications et accède aux services basés sur le cloud. Bien entendu, personne ne souhaite devoir se réauthentifier encore et encore. L'automatisation est la réponse évidente. Une fois qu'un utilisateur a été positivement identifié et qu'il est établi qu'il est celui qu'il prétend être --- et non, par exemple, quelqu'un utilisant les informations d'identification d'un utilisateur authentique à partir d'une adresse IP que l'utilisateur réel n'a jamais utilisée --- en transmettant son les informations d’identification ont automatiquement un sens.

Pour ce faire en toute sécurité, une norme est nécessaire pour demander les informations d'identification, pour transmettre les informations d'identification de manière prévisible et pour les recevoir et les vérifier ou les rejeter. Le langage de balisage d'assertion de sécurité est une norme basée sur XML développée par le comité technique des services de sécurité de l'Organisation pour l'avancement des normes d'information structurées. Au moment de la rédaction, la version actuelle est SAML 2.0.

C'est ainsi qu'il est utilisé pour transmettre des informations de sécurité entre les abonnés en ligne au modèle SAML.

Qu'est-ce que SAML

SSO est un service d'authentification qui permet une connexion simple avec une seule identité sur plusieurs systèmes. Avec SSO, les utilisateurs n'ont plus besoin de saisir manuellement leurs informations d'identification chaque fois qu'ils souhaitent accéder à un actif ou une ressource.

Les utilisateurs sont authentifiés et validés par un serveur central lorsqu'ils tentent de se connecter. L'authentification est effectuée à l'aide d'une combinaison d'informations utilisateur, d'identifiants, de certificats et de jetons d'authentification multifacteur.

Le SSO est souvent exploité par les réseaux Zero Trust pour satisfaire leur besoin d’autorisation et d’authentification continue. Le SSO avait besoin d'une solution permettant aux utilisateurs d'accéder à des services basés sur le cloud situés en dehors du réseau de l'entreprise et hors de portée du Zero Trust. Une norme pour la fédération des informations d’identification de sécurité était nécessaire.

SAML a rapidement gagné du terrain et trouvé la faveur des fournisseurs de services basés sur le cloud. Des poids lourds tels que Google, Microsoft, IBM, Red Hat et Oracle ont conseillé, adopté et défendu SAML.

Grâce à SAML, une organisation peut envoyer des informations de sécurité telles que des identités et des privilèges d'accès à un fournisseur de services de manière sécurisée et standardisée.

Scénarios de communication SAML

Il existe trois entités principales dans une communication SAML.

• L'utilisateur final. Il s'agit de la personne qui souhaite utiliser la ressource, l'actif ou le service cloud distant.
• Un fournisseur d'identité, ou idP. L'IDP fournit des ressources en ligne pour permettre l'authentification des utilisateurs finaux sur le réseau.
• Un fournisseur de services doit faire confiance à l'IDP. Les utilisateurs qui ont été identifiés et authentifiés par l'IDP sont approuvés par le fournisseur de services, qui fournit à l'utilisateur final un accès au service.

Lorsqu'un utilisateur final se connecte à son compte d'entreprise et utilise l'un de ses raccourcis ou liens de tableau de bord pour accéder à des ressources distantes, il est authentifié auprès de l'IDP. L'IDP envoie un message SAML au fournisseur de services. Cela lance une conversation SAML entre l’IDP et le fournisseur de services. Si l'IDP vérifie l'identité de l'utilisateur final, le fournisseur de services accepte l'utilisateur final comme étant de bonne foi et lui accorde l'accès à ses services.

Si l'utilisateur final n'a pas été authentifié par l'IDP avant de faire une demande au fournisseur de services, celui-ci le redirige vers l'IDP afin qu'il puisse se connecter et établir son identité. L'IDP communique ensuite avec le fournisseur de services pour authentifier l'utilisateur final et redirige l'utilisateur final vers le fournisseur de services.

Les fournisseurs d’identité sont les intermédiaires tout au long du processus. Sans eux, le système ne fonctionnera pas. Il existe des organisations qui répondent à cette exigence, en fournissant des services de fournisseur d'identité avec lesquels les entreprises peuvent s'associer pour utiliser leurs services SAML. D'autres organisations vous guideront pour devenir votre propre fournisseur d'identité.

Assertions SAML

Une assertion SAML est le document XML envoyé par l'IDP au fournisseur de services. Il existe trois types différents d'assertions SAML : authentification, attribut et décision d'autorisation.

• Les assertions d'authentification vérifient l'identification de l'utilisateur. Ils fournissent également certaines métadonnées associées, telles que l'heure à laquelle ils se sont connectés et les facteurs utilisés pour se connecter et établir l'authentification.
• Les assertions d'attribution sont utilisées pour transférer les éléments de données spécifiques qui fournissent des informations sur l'utilisateur au fournisseur de services. Ces informations sont appelées attributs SAML.
• Les assertions de décision d'autorisation contiennent la décision de l'IPD quant à savoir si l'utilisateur est autorisé ou non à utiliser le service. Ceci est subtilement différent des assertions d’authentification. Les assertions d'authentification indiquent que l'IDP sait qui est l'individu. Les assertions de décision d'autorisation indiquent si cette personne dispose des privilèges nécessaires pour accéder au service ou à l'actif demandé.

Qu'en est-il d'OAuth et de WS-FED ?

SAML est le plus souvent utilisé par les entreprises pour accéder de manière sécurisée et, du moins du point de vue de l'utilisateur, à des services externes pour lesquels l'entreprise paie. Les fournisseurs de services tels que Salesforce, Go Daddy, Dropbox, Nokia et de nombreux services gouvernementaux et civils utilisent SAML.

OAuth, ou autorisation ouverte, est un protocole d'autorisation standard ouvert principalement utilisé par les applications et services grand public. Plutôt que d'avoir à créer une identité lorsque vous créez un compte, une plate-forme compatible OAuth peut vous permettre de « vous connecter avec Google », Facebook ou Twitter. En fait, vous utilisez Twitter ou Facebook ou autre comme fournisseur d'identité. Il vous permet d'utiliser une organisation approuvée par la plateforme sur laquelle vous créez le compte pour garantir votre identité. Il le fait d'une manière qui ne nécessite pas le partage de votre mot de passe Google, Twitter ou Facebook. Si la nouvelle plateforme subit une violation de données, vos informations d'identification ne sont pas exposées.

La Fédération des services Web fait le même travail que SAML. Il fédère l'authentification et l'autorisation des fournisseurs de services en un fournisseur d'identité commun et fiable. Il a moins de pénétration que SAML, même s'il est pris en charge par des fournisseurs d'identité tels que les services de fédération Active Directory de Microsoft, mais il n'a pas fait de progrès significatifs auprès des fournisseurs de cloud.

Halte, qui y va ?

SAML facilite l'authentification unique avec une identité fédérée, exploitée par des réseaux Zero Trust.

C'est comme si un soldat pouvait dire à la sentinelle : « Le colonel viendra se porter garant de moi dans un instant. »