SAML 2.0

Définition

SAML 2.0 (Security Assertion Markup Language) est un protocole XML standardisé par OASIS pour l'échange d'informations d'authentification et d'autorisation entre un fournisseur d'identité (IdP — Identity Provider) et un fournisseur de service (SP — Service Provider). Il est le standard dominant pour le Single Sign-On (SSO) en entreprise, permettant à un utilisateur de s'authentifier une seule fois sur son IdP (Azure AD, Okta, Ping Identity) et d'accéder à de nombreuses applications sans ré-authentification. Le flux SAML 2.0 le plus courant est le SP-Initiated SSO : l'utilisateur accède à une application (SP), est redirigé vers l'IdP pour authentification, l'IdP authentifie l'utilisateur et génère une assertion SAML signée (XML) contenant l'identité et les attributs de l'utilisateur, puis redirige l'utilisateur vers le SP avec cette assertion. Le SP vérifie la signature de l'assertion contre la clé publique de l'IdP et crée une session locale. Les composants clés d'une assertion SAML incluent : l'émetteur (Issuer — l'IdP), le sujet (Subject — l'identité de l'utilisateur), les conditions (Conditions — fenêtre temporelle de validité), les déclarations d'authentification (AuthnStatement — méthode d'authentification), et les déclarations d'attributs (AttributeStatement — attributs supplémentaires comme les groupes, l'email, le rôle). Les assertions sont signées numériquement avec X.509/RSA ou ECDSA par l'IdP. SAML 2.0 est particulièrement adapté aux intégrations enterprise SSO pour les applications SaaS professionnelles (Salesforce, ServiceNow, Workday, Jira, Confluence, Office 365 legacy). Sa maturité (2005) et sa large adoption en font le standard de facto pour les intégrations B2B et les applications d'entreprise traditionnelles. Les vulnérabilités SAML connues incluent : les attaques par signature wrapping (XSW) qui manipulent la structure XML pour injecter des assertions malveillantes, les vulnérabilités de parsing XML (XXE, SSRF via les URLs metadata), et les assertions mal validées (vérification incomplète de l'audience, de l'expiration, ou de la signature). Des outils comme SAMLraider permettent aux pentesters de tester ces vulnérabilités dans les implémentations SAML. SAML 2.0 est souvent comparé à OAuth 2.0 + OpenID Connect (OIDC) : SAML est XML-based, plus verbeux, idéal pour les applications web enterprise legacy ; OIDC est JSON/REST-based, plus léger, idéal pour les applications mobiles et API modernes.