Comment valider un SAML valeur de signature

De chiffrement et de signature sont deux animaux différents. Triple DES est une clé symétrique de la méthode (même clé utilisée pour le chiffrement et le déchiffrement). Les signatures numériques, d'autre part, l'utilisation de clés asymétriques (privé/clé publique de la paire), où la signature est calculée à l'aide de la clé privée, et peut être validé à l'aide de la clé publique. Donc, si votre client veut inclure les signatures XML qu'ils vous envoient, alors ils ont besoin de vous fournir avec leur clé publique.

Pour le chiffrement, ce qui est typique dans SAML est d'utiliser XMLEncryption, qui définit un format XML pour y compris la clé de chiffrement de l'information et des données chiffrées dans votre SAML messages. Depuis l'échange d'une statique de la clé symétrique est problématique, s'il est intercepté, l'intercepteur peut crypter et décrypter des messages -- ce qui peut être fait à la place, est l'utilisation dynamique de la clé symétrique, qui est généré à nouveau pour chaque message, de chiffrer le message avec la clé, puis chiffrer cette clé avec la clé publique de cryptage privée/publique de la paire de clés et l'envoyer avec le message. La clé symétrique chiffrée ne peut être déchiffré à l'aide de la privé de la moitié de la paire de clés utilisée pour le chiffrement.

Donc la différence la plus importante ici, à partir d'une perspective essentielle, est que, pour la signature, le client détient la clé privée et doivent partager la clé publique avec vous, tandis que pour le chiffrement, vous détenez la clé privée et doivent partager la clé publique du client.

OriginalL'auteur JST