SAML

Définition

SAML (Security Assertion Markup Language) est un standard ouvert basé sur XML, défini par l'organisation OASIS, permettant l'échange sécurisé d'informations d'authentification et d'autorisation entre un fournisseur d'identité (Identity Provider, IdP) et un fournisseur de service (Service Provider, SP), fondement technique de l'authentification unique (SSO) fédérée inter-domaines dans de nombreux environnements d'entreprise, notamment via ADFS (Active Directory Federation Services) côté Microsoft. Le flux typique repose sur l'émission par l'IdP d'une assertion SAML signée numériquement, attestant de l'identité de l'utilisateur et de ses attributs, que le SP valide via la vérification de la signature cryptographique avant d'accorder l'accès, sans jamais transmettre de mot de passe entre les deux parties. Sur le plan sécurité, SAML a fait l'objet de vulnérabilités structurelles documentées, notamment les attaques dites XML Signature Wrapping, exploitant des ambiguïtés de parsing XML pour faire accepter une assertion falsifiée malgré une signature techniquement valide sur un autre élément du document, ainsi que l'attaque Golden SAML, dans laquelle un attaquant ayant compromis la clé privée de signature du serveur ADFS peut forger des assertions SAML arbitraires pour n'importe quel utilisateur, y compris vers des services cloud comme Microsoft 365, contournant intégralement l'authentification multifacteur. La rotation régulière des certificats de signature ADFS et la surveillance des exports de clés constituent des contre-mesures essentielles face à cette dernière technique.