SAML (Security Assertion Markup Language) permite un acceso seguro y sin interrupciones a múltiples aplicaciones mediante el intercambio de datos de autenticación entre un Proveedor de Identidad (IdP) y un Proveedor de Servicios (SP).
Esto permite a los usuarios iniciar sesión una vez y acceder a varios servicios sin volver a introducir las credenciales, mejorando la seguridad y la experiencia del usuario en entornos empresariales. En esta publicación, exploraremos cómo funciona SAML y sus beneficios.
¿Qué es Security Assertion Markup Language (SAML)?
La autenticación SAML (Security Assertion Markup Language) permite un acceso seguro a los servicios mediante el intercambio de datos de autenticación y autorización entre un Proveedor de Identidad (IdP) y un Proveedor de Servicios (SP). Este protocolo se utiliza comúnmente en entornos empresariales para proporcionar a los usuarios un acceso sin interrupciones a múltiples aplicaciones utilizando un único conjunto de credenciales.
Componentes de SAML
Estos son los componentes y conceptos clave de SAML:
- Proveedor de Identidad (IdP): Esta es la entidad que autentica a un usuario y proporciona una aserción al proveedor de servicios. La aserción contiene información sobre la identidad y los atributos del usuario.
- Proveedor de Servicios (SP): Esta es la entidad que recibe la aserción SAML y toma decisiones de control de acceso basadas en ella. El proveedor de servicios confía en el proveedor de identidad para autenticar a los usuarios.
- Aserción SAML: Este es el documento XML que el proveedor de identidad envía al proveedor de servicios. Contiene información de autenticación, información de atributos y decisiones de autorización.
- Inicio de Sesión Único (SSO): SAML se utiliza comúnmente para implementar SSO, lo que permite a los usuarios autenticarse una vez con un proveedor de identidad y obtener acceso a múltiples proveedores de servicios sin volver a autenticarse.
- Enlaces: SAML admite múltiples enlaces para el transporte de mensajes, incluyendo HTTP Redirect, HTTP POST, y SOAP.
- Protocolo Basado en XML: SAML utiliza XML para codificar los mensajes que se intercambian entre el proveedor de identidad y el proveedor de servicios.
SAML 2.0
Basándonos en el concepto de SAML, profundicemos en SAML 2.0, que es la versión más utilizada del estándar. SAML 2.0 introdujo varias mejoras y características con respecto a su predecesor, SAML 1.1:
- Inicio de Sesión Único (SSO) Mejorado: SAML 2.0 mejoró las capacidades de SSO, facilitando su implementación y haciéndolo más robusto en términos de seguridad y experiencia del usuario.
- Federación de Identidad: Permite una federación de identidad más fluida entre diferentes dominios, lo que permite a los usuarios acceder a recursos en diferentes organizaciones con un único proceso de autenticación.
- Soporte para Múltiples Contextos de Autenticación: SAML 2.0 puede manejar diferentes niveles de garantía de autenticación, lo que permite el uso de métodos de autenticación más fuertes cuando sea necesario.
- Intercambio de Metadatos: Esta versión admite el intercambio de metadatos entre proveedores de identidad y proveedores de servicios, lo que ayuda a automatizar la configuración y el establecimiento de relaciones de confianza.
- Enlaces de Protocolo Mejorados: SAML 2.0 incluye un mejor soporte para varios protocolos de transporte, como HTTP Redirect, HTTP POST y Artifact Binding, lo que mejora la flexibilidad y la compatibilidad.
- Consulta de Atributos y Consentimiento: SAML 2.0 permite consultar los atributos del usuario y gestionar el consentimiento del usuario de forma más eficiente, mejorando el control del usuario sobre los datos personales.
¿Cómo Funciona la Autenticación SAML?
Proceso de Autenticación
La autenticación SAML comienza cuando un usuario inicia el proceso de inicio de sesión introduciendo sus credenciales en el IdP. El IdP verifica la identidad del usuario y crea una aserción SAML, que contiene atributos del usuario e información de autenticación.
Esta aserción incluye detalles como la identidad del usuario, la hora de autenticación y las condiciones bajo las cuales la aserción es válida. Para garantizar la integridad y autenticidad de la información, la aserción está firmada digitalmente por el IdP.
Acceso al Servicio
Una vez autenticado, el usuario intenta acceder a un servicio proporcionado por el SP. El SP, necesitando verificar la identidad del usuario, redirige al usuario al IdP con una solicitud de autenticación. El IdP responde enviando la aserción SAML al SP, normalmente a través del navegador del usuario utilizando HTTP POST o HTTP Redirect.
El SP entonces valida la aserción SAML comprobando la firma digital y las condiciones de la aserción. Si la aserción es válida, el SP concede al usuario acceso al servicio solicitado. Este proceso es transparente para el usuario, que solo necesita iniciar sesión una vez para obtener acceso a múltiples servicios.
Escenario de Ejemplo
Considere un escenario empresarial típico. Al comienzo de la jornada laboral, John inicia sesión en el sistema de Gestión de Identidad y Acceso (IAM) de su empresa, que sirve como IdP, utilizando sus credenciales corporativas.
El IdP verifica las credenciales de John y crea una aserción SAML, que incluye información como el nombre de usuario de John, la marca de tiempo de autenticación y los atributos de acceso basados en roles. John entonces intenta acceder al servicio de correo electrónico alojado de la empresa, un SP.
El servicio de correo electrónico redirige a John al IdP con una solicitud de autenticación. El IdP envía la aserción SAML de vuelta al servicio de correo electrónico a través del navegador de John. El servicio de correo electrónico valida la aserción comprobando la firma digital y asegurándose de que se cumplen todas las condiciones, como que la aserción esté destinada al servicio de correo electrónico y no haya caducado.
Una vez validado, a John se le concede acceso al servicio de correo electrónico sin necesidad de volver a introducir sus credenciales, lo que le permite utilizar el servicio sin problemas.
Beneficios de la Autenticación SAML
Al integrar la autenticación SAML, las organizaciones pueden agilizar la gestión del acceso de los usuarios, mejorar la seguridad reduciendo el riesgo de fatiga y reutilización de contraseñas, y proporcionar a los usuarios un acceso sin problemas a múltiples aplicaciones. Esta integración mejora en última instancia tanto la eficiencia operativa como la postura de seguridad.
¿Qué es una Aserción SAML?
Una Aserción SAML es un documento XML que es emitido por un Proveedor de Identidad (IdP) SAML y consumido por un Proveedor de Servicios (SP). Contiene declaraciones sobre un usuario en las que ambas partes pueden confiar.
El propósito principal de la Aserción SAML es transmitir información de seguridad entre el IdP y el SP de una manera segura y estandarizada. Estos son los componentes clave y los tipos de declaraciones que se encuentran dentro de una Aserción SAML:
Componentes Clave
- Emisor: La entidad que emitió la aserción, típicamente el IdP.
- Sujeto: El usuario o entidad sobre la que trata la aserción. Esto generalmente incluye un identificador único para el usuario.
- Condiciones: Restricciones y reglas bajo las cuales la aserción es válida, incluyendo restricciones de tiempo y restricciones de audiencia.
- Declaración de Autenticación: Información sobre la autenticación del usuario en el IdP, como el método de autenticación y la marca de tiempo.
- Declaración de Atributos: Una colección de atributos sobre el usuario, como nombre, dirección de correo electrónico, roles, etc.
- Declaración de Decisión de Autorización: Información sobre los derechos de acceso del usuario a recursos específicos.
Tipos de Declaraciones
- Declaración de Autenticación: Describe el acto de autenticación en el IdP, incluyendo el método utilizado y el tiempo de autenticación.
- Declaración de Atributos: Contiene atributos asociados con el sujeto. Por ejemplo, la dirección de correo electrónico de un usuario, roles u otra información relevante.
- Declaración de Decisión de Autorización: Proporciona información sobre si un usuario está autorizado a acceder a un recurso específico. Esto incluye la decisión (permitir o denegar) y el recurso en cuestión.
¿Cómo Funciona la Aserción SAML?
- El Usuario Solicita Acceso: El usuario intenta acceder a un recurso en el SP.
- El SP Solicita Autenticación: El SP redirige al usuario al IdP para la autenticación.
- El Usuario se Autentica: El usuario proporciona credenciales al IdP.
- El IdP Emite la Aserción: Tras la autenticación exitosa, el IdP genera una Aserción SAML y la envía de vuelta al SP, típicamente a través del navegador del usuario.
- El SP Valida la Aserción: El SP valida la aserción, comprobando su integridad, la validez del emisor y las condiciones.
- Acceso Concedido: Si la aserción es válida, se concede al usuario acceso al recurso.
Consideraciones de Seguridad
- Cifrado: Las Aserciones SAML pueden ser cifradas para garantizar la confidencialidad.
- Firma: Las aserciones a menudo se firman para garantizar su integridad y autenticidad.
- Caducidad: Las aserciones incluyen condiciones, como límites de tiempo, para mitigar el riesgo de ataques de repetición.
