SAML (Security Assertion Markup Language) ist ein quelloffenes XML-Framework, das den Austausch von Authentifizierungs- und Autorisierungsinformationen ermöglicht. Die einzelnen SAML-Komponenten, zu denen unter anderem eine zentrale Benutzerdatenbank und sechs verschiedene Protokolle zählen, stellen alle relevanten Funktionen zur Beschreibung und Übertragung von Sicherheitsfunktionen zur Verfügung – weshalb SAML als hervorragende Komplettlösung für das Federated Identity Management (FIM) gilt.
Security Assertion Markup Language, kurz SAML, ist ein quelloffenes Framework auf XML-Basis zum Austauschen von Authentifizierungs- und Autorisierungsinformationen. Es wurde ab 2001 vom Security Services Technical Committee des OASIS-Konsortiums (Organisation for the Advancement of Structured Information Standards) entwickelt und im November 2002 in einer ersten Version (SAML v1.0) veröffentlicht. Im Laufe der Zeit hat das Projektteam diverse Anpassungen vorgenommen, die in den überarbeiteten Versionen SAML 2.0 und 2.1 (auch 1.1) wiederzufinden sind. Der SAML-Standard enthält mehrere Komponenten, die alle relevanten Funktionen zur Beschreibung und Übertragung sicherheitsbezogener Informationen bereitstellen. Damit bildet SAML die optimale Grundlage fürs Federated Identity Management (FIM).
SAML kann u. a. dazu verwendet werden, Aussagen über die Eigenschaften sowie die Berechtigungen eines Benutzers gegenüber anderen Benutzern bzw. Partnerunternehmen, vor allem aber gegenüber Anwendungen zu machen (letztere werden im SAML-Konzept auch als Service-Provider bezeichnet). Hierfür greift der sogenannte Identity-Provider (zentrale Benutzerdatenbank), der entsprechende Nutzerinformationen speichert, auf Assertions im XML-Format zurück. Weitere Komponenten einer auf dem SAML-Standard basierenden Verifizierungsumgebung sind sechs verschiedene Protokolle sowie Bindings und Profile.
Eine SAML-Assertion kann eine oder mehrere Aussagen über die Eigenschaften (Identität, Attribute) und die Berechtigungen eines Benutzers enthalten. Sie wird durch den jeweiligen Identity-Provider, also die verantwortliche Benutzerdatenbank, erstellt, wobei XML als Auszeichnungssprache zum Einsatz kommt. Jede Assertion erhält zudem eine digitale Signatur, die zunächst durch den zugreifenden Service-Provider, also die jeweilige Anwendung, geprüft und verifiziert werden muss. Auf diese Weise ist die Integrität und Authentizität der Assertion gewährleistet, die man in ihrer signierten Form auch als SAML-Token bezeichnet. Nach erfolgreicher Verifizierung analysiert der Service-Provider den eigentlichen Inhalt und trifft in der Folge eine Entscheidung, ob und welchen Zugriff er dem Benutzer gewährt.
Folgende drei Typen von Aussagen in Assertions sind im SAML-2.0-Standard spezifiziert:
Die Anzahl an Statements in einer Assertion hängt in erster Linie von dem Anwendungsbereich des SAML-Frameworks ab. Soll beispielsweise Single Sign-on realisiert werden, enthält ein SAML-Token typischerweise je ein einzelnes Authentication Statement und ein Attribute Statement.
Die SAML 2.0-Spezifikation definiert eine Reihe von Abfrage-/Antwort-Protokollen, die es der Anwendung beispielsweise ermöglichen, eine Assertion anzufordern bzw. abzufragen oder einen Benutzer aufzufordern, sich zu authentifizieren. Im Detail handelt es sich dabei um folgende Protokolle:
Mappings – also Umwandlungen – des SAML-Nachrichtenaustauschs in Standard-Messaging- oder Kommunikationsprotokolle werden als SAML-Protokoll-Bindings oder auch einfach nur Bindings bezeichnet. So definiert das SOAP Binding beispielsweise, wie sich SAML-Nachrichten innerhalb von SOAP-Umgebungen austauschen lassen, während das HTTP Redirect Binding festlegt, wie SAML-Protokoll-Nachrichten über das HTTP-Weiterleitungsverfahren transportiert werden können. Weitere bereits im SAML-2.0-Standard vordefinierte Bindings sind:
Als allgemeiner Standard zeichnet sich SAML durch seine Flexibilität aus, die das Framework für zahlreiche Einsatzszenarien qualifiziert. Damit bestimmte Anwendungen die Verwendung von SAML unterstützen, gilt es allerdings, diese Flexibilität teilweise einzuschränken. Hierfür kommen sogenannte Profile zum Einsatz, die gewählte Assertions, Protokolle und Bindings für spezifische Anwendungsfälle bündeln. Eines der am häufigsten verwendeten Profile ist das oben erwähnte SAML 2.0 Web Browser SSO Profile, das den Rahmen zur Realisierung einer SAML-SSO-Authentifizierung spezifiziert. So enthält es alle entscheidenden Komponenten, um die Kommunikation von SAML-Authentifizierungszusicherungen zwischen Identity- und Service-Provider zu definieren, die für die Einmalanmeldung über einen beliebigen Webbrowser notwendig ist. Ferner liefert das Framework folgende weiteren Profile mit:
Mehr als 24 Unternehmen und Organisationen waren an der Konzeptionierung und Erarbeitung von SAML 2.0 beteiligt, bevor die Version im März 2005 als offizieller Nachfolger von SAML 1.0 bzw. 1.1 veröffentlicht werden konnte. Zusätzlich zu zahlreichen Verbesserungen vorhandener Features erhielt das Framework dabei auch komplett neue Features, die aus dem Liberty Alliance Identity Federation Framework (ID-FF) 1.2 und aus der von Internet2 entwickelten Shibboleth-Architektur übernommen wurden.
Die zentrale Authentifizierungsdatenbank heißt erst seit SAML 2.0 „Identity Provider“, nachdem der Begriff aus der Terminologie von Liberty Alliance übernommen wurde. In vorangegangenen Versionen hieß diese Instanz noch „Authentication Authority“.
Die folgende Auflistung zeigt einige der wichtigsten Anpassungen, die das Framework im zweiten „großen“ Release („major release“) erhalten hat:
Eine detaillierte Auflistung der Unterschiede zwischen SAML 2.0 und SAML 1.1 liefert die SAML-Community-Seite saml.xml.org.
Das Einsatzfeld des SAML-Frameworks ist schnell definiert: Mit dem entsprechenden Know-how lässt sich eine zentrale Authentifizierungsinstanz auf Basis der Auszeichnungssprache realisieren, die sich durch Effizienz und einen hohen Sicherheitsstandard auszeichnet. Letzteres ist insbesondere darauf zurückzuführen, dass die einzelnen Anwendungen keinerlei Benutzerdaten speichern oder synchronisieren müssen, was die Zahl möglicher Sicherheitslecks erheblich minimiert. Der Hauptfokus des Frameworks liegt dabei darauf, diesen hohen Sicherheitslevel mit der bestmöglichen Benutzerfreundlichkeit zu verknüpfen, weshalb es dank entsprechender Protokolle und Nachrichtenformate auch den bereits mehrfach genannten Single Sign-on unterstützt.
In der Praxis unterscheidet man zwischen „Service Provider initiated SAML“ und „Identity Provider initiated SAML“. Die beiden Konzepte unterscheiden sich darin, an welche Instanz die Authentifizierungsanfrage des Benutzers gesendet wird (Service Provider oder Identity Provider).
Das SAML-SSO-Verfahren, das die Nutzung verschiedener Anwendungen auf Basis einer einzigen Anmeldung ermöglicht, ist dabei nicht nur bei unternehmensinternen Applikationsprozessen gefragt: Die praktische Einmalanmeldung ist heute in den Konzepten diverser Webservices verankert – insbesondere im Onlinebanking und bei mobilen Apps. Häufig bekommt der Benutzer gar nicht mehr mit, dass er es bei der Nutzung solcher Dienste mit mehreren verschiedenen Anwendungen zu tun hat. So wird ein Kunde, der sich einmalig über die Website seiner Bank einloggt, mit großer Wahrscheinlichkeit auf mehr als ein Backend-System zugreifen, wenn er beispielsweise nacheinander Sparbuch, Depot und Kreditkartenkonto öffnet. Dank der SAML-Technologie erscheint es ihm allerdings, als ob er lediglich ein einziges Programm bedient.
Der „Weg in die Hölle“ – so nannte einst Eran Hammer-Lahav das Sicherheitsprotokoll OAuth 2.0, an dem er selbst jahrelang mitgearbeitet hatte. Viele Sicherheitsanalysten urteilten hingegen, dass der offene Standard für Desktop-, Web- und Mobile-Anwendungen seine Funktion durchaus erfüllt: Nutzern mithilfe sicherer API-Autorisierung zu ermöglichen, Daten und Funktionen plattformübergreifend in...
Das Onlineleben könnte so einfach sein: Einmal seine Zugangsdaten eingeben und automatisch für alle Accounts, Plattformen und Dienste im Web registriert und angemeldet sein, anstatt sich Dutzende Passwörter merken zu müssen. Das Prinzip ist Realität, es nennt sich SSO – Single-Sign-On – und findet unter privaten wie auch professionellen Nutzern immer mehr Anklang. Doch der Komfort und die...
Schnell, sicher und State-of-the-Art – nutzen Sie unsere starke Plattform für Ihre Kunden
NEWSLETTER