При подписании ответа SAML, который также имеет подписанное утверждение, я должен:
А) Создайте подпись Ответа без подписи Утверждения. Затем введите подпись подтверждения после того, как обе подписи были сгенерированы.
B) Сгенерируйте подпись Утверждения и включите ее при генерации подписи Ответа.
В) что-то еще?
SAML ужасен, каждый раз, когда я читаю ответ, они почти правильные, вот правильный алгоритм:
Это оно. SAML совершенно ужасно. Существует множество мелких тонкостей, которые делают реализацию SAML кошмаром (например, вычисление канонической формы подмножества XML (утверждение), также не включена XML-версия XML-документов.
Я закончил свою реализацию, я надеюсь, что больше никогда не вернусь к такой боли.
Я считаю, что правильный ответ - Б). Сначала подпишите подтверждение, затем подпишите ответ, содержащий подписанные данные подтверждения. Однако, если один Эмитент/Сущность (STS/IDP/и т.д.) Подписывает оба документа, нет ли реальной причины подписывать Утверждение? Просто подпишите протокольное сообщение/ответ, который должен включать данные подтверждения. Это сократит требования к обработке в SP. Что касается единого входа в Интернет, то я видел только две части, подписанные, когда у вас есть другая сущность, подписывающая Утверждение против Ответа.
Если вы подписываете оба, то сначала должно быть подписано утверждение, а затем ответ, потому что подпись ответа будет основываться на всем содержимом ответа (включая подпись подтверждения). Таким образом, подписание второго утверждения приведет к аннулированию сигнатуры ответа.
Правильный ответ - B.
Если заявляющая сторона подписывает ответ SAML с использованием A, то полагающаяся сторона должна удалить подпись ответа SAML и подпись утверждения SAML до проверки ответа SAML. Спецификация ядра SAML говорит, что подпись не должна генерироваться с использованием преобразований, отличных от конвертированного сигнатурного преобразования или эксклюзивного преобразования канонизации. Ни одно из этих двух преобразований не может удалить подпись утверждения SAML. Таким образом, полагающаяся сторона не может подтвердить ответ SAML.