ADFS 2.0. Выяснение чистоты и ценности каждого сертификата X.509

Question

Я новичок во всех этих функциях безопасности, и недавно меня попросили заглянуть в ADFS 2.0. Я нашел ADFS использует следующие типы сертификатов X.509 общаться с полагающейся стороной (RP):

• Общие для всех RPS: 1) Услуги связи 2) Токен подписи 3) Токен-дешифрования
• Специфический для RP: сертификат 4) Шифрование

Помогите мне пожалуйста, чтобы выяснить, какие из них действительно важно и необходимо в реальной ситуации производства, где задействованы все 3 части: пользователь, поставщик услуг (наша компания), IdP (ADFS) (по заказу клиента) s сервер).

1) Что я нашел относительно первого сертификата в MS-помощи: «Это тот же сертификат, который сервер федерации использует в качестве сертификата SSL в службах IIS». Я не уверен, что это правда, потому что я смог чтобы заменить их отдельно, не влияя друг на друга, чтобы они определенно могли функционировать параллельно. Поэтому не знаю, для чего нужен этот сертификат.

2) Второй для регистрации выданных токенов, чтобы RP мог убедиться, что токен действительно выпущен доверенной ADFS, а не перехвачен, правильно?

3) Третий вариант, вероятно, предназначен для обратных целей: ADFS гарантирует, что сообщение действительно является доверенным RP.

4) Сертификат шифрования для конкретного RP помогает зашифровать все сообщение (токен), так что, даже если у вас есть открытый ключ https и перехват сообщения из ADFS, вы не можете прочитать его, не имея другого открытого ключа, который должен быть только Знаете, RP, правильно?

Исправьте меня, если я ошибаюсь.

Все эти сертификаты являются необязательными, и Micorosoft ничего не говорит о важности которого, единственное упоминание о том, что я заключил в WIF SDK, говорит, что лучше использовать сертификат шифрования токена в реальной жизни. Дело в том, что мы установили протокол HTTPS для связи ADFS-RP (IIS настроен на использование https с обеих сторон). Разве это недостаточно для безопасного общения? Интересно: нам действительно нужно 2), 3) и даже 4)?

Answer 1

В реальном сценарии жизни, у вас есть по крайней мере два:

1.) сертификат SSL - только здравый смысл, в настоящее время, и рекомендованы SAML 2.0 SSO profile. Это может быть тот же сертификат, что и IIS, использующий ADFS.

2.) Сертификат подписи/проверки токена (не «дешифрование»), который должен соответствовать профилям SAML 2.0, которые используют «передний канал bindings» (HTTP-переадресация/POST). Если вы являетесь провайдером удостоверений (IdP), у вас будет закрытый ключ подписи - если нет, просто сертификат (открытый ключ проверки). В самом деле, это означает, что утверждения были выпущены доверенной стороной, а не подделаны. Для федерации абсолютно важно, иначе кто-то может подделать свой путь в вашу среду (как SP (RP)).

Сертификат шифрования действительно будет использоваться для шифрования частей ваших сообщений SAML, что является обычным явлением, если вы пытаетесь скрыть информацию, которая может быть передана через браузер пользователя (например, чувствительные атрибуты в заявлении атрибута SAML Assertion).

Answer 2

1 и 2 являются обязательными.

ADFS не позволит вам добавлять привязку RP через импорт метаданных, если это не соединение https.

Определение претензии: «Утверждение о предмете, например, имя, идентификатор, ключ, группа, разрешение или возможность, сделанные одним субъектом о себе или другом субъекте. Претензии даются один или несколько и затем упаковывается в маркеры безопасности, которые выдаются службой маркеров безопасности (STS) ». Чтобы гарантировать достоверность токена, он должен быть подписан.

Независимо от того, зашифрован ли токен, зависит от требований безопасности.