消息级安全性和 SSO 签名

Question

我有一个关于 SAML 联盟中使用的密钥的一般性问题。

通常要建立 SSO，XML 消息和 SAML 断言由一个合作伙伴（IdP 或 SP）签名。

通常哪个合作伙伴应该使用私钥对消息进行签名？

谢谢

Answer 1

消息的发件人是签名者。

使用 SAML2 WebSSO 配置文件的常见消息交换是：

1. SP（服务提供商）向 Idp 发送 AuthnRequest。 AuhtnRequest 可能由 SP 签名，但不是必须的。
2. Idp（身份提供者）通过 HTTP POST 将 SamlResponse 发送回 SP。 Idp 可能会叹息整个 SamlResponse 或仅叹息包含的断言或两者。如果 SamlResponse 未签名，则必须对断言进行签名才能信任。