Phenquestions
SAML
SAML wordt gebruikt om SSO-providers van webapplicaties in staat te stellen inloggegevens over te dragen en te verplaatsen tussen de identiteitsprovider (IDP), die de inloggegevens bevat, en de serviceprovider (SP), de bron die deze inloggegevens nodig heeft. SAML is een standaard autorisatie- en authenticatieprotocoltaal die meestal wordt gebruikt voor het uitvoeren van federatie- en identiteitsbeheer, samen met Single Sign On-beheer. In SAML, XML-metadatadocumenten worden gebruikt als een token voor het indienen van de identiteit van de klant. Het authenticatie- en autorisatieproces van SAML is als volgt:
- De gebruiker vraagt om in te loggen op de dienst via de browser.
- De service informeert de browser dat deze authenticeert bij een specifieke identiteitsprovider (IdP) die bij de service is geregistreerd.
- De browser stuurt het authenticatieverzoek door naar de geregistreerde identiteitsproviders voor aanmelding en authenticatie.
- Na een succesvolle legitimatie-/authenticatiecontrole genereert de IdP een op XML gebaseerd bevestigingsdocument dat de identiteit van de gebruiker verifieert en dit doorstuurt naar de browser.
- De browser geeft de bewering door aan de serviceprovider.
- De Service Provider (SP) accepteert de bewering voor invoer en geeft de gebruiker toegang tot de service door in te loggen.
Laten we nu naar een voorbeeld uit de praktijk kijken. Stel dat een gebruiker op de Log in optie op de dienst voor het delen van afbeeldingen op de website abc.com. Om de gebruiker te authenticeren, wordt een versleuteld SAML-authenticatieverzoek gedaan door abc.com. Het verzoek wordt rechtstreeks van de website naar de autorisatieserver (IdP) gestuurd. Hier zal de serviceprovider de gebruiker omleiden naar de IdP voor autorisatie. De IdP verifieert het ontvangen SAML-authenticatieverzoek en als het verzoek geldig blijkt te zijn, zal het de gebruiker een inlogformulier tonen om de inloggegevens in te voeren. Nadat de gebruiker de inloggegevens heeft ingevoerd, genereert de IdP een SAML-bevestiging of SAML-token met de gegevens en identiteit van de gebruiker en stuurt deze naar de serviceprovider. De serviceprovider (SP) verifieert de SAML-bevestiging en extraheert de gegevens en identiteit van de gebruiker, wijst de juiste machtigingen toe aan de gebruiker en logt de gebruiker in op de service.
Ontwikkelaars van webtoepassingen kunnen SAML-plug-ins gebruiken om ervoor te zorgen dat de app en de bron beide de vereiste Single Sign On-praktijken volgen. Dit zorgt voor een betere gebruikersaanmeldingservaring en effectievere beveiligingspraktijken die gebruikmaken van een gemeenschappelijke identiteitsstrategie. Als SAML is geïnstalleerd, hebben alleen gebruikers met de juiste identiteit en assertion-token toegang tot de bron.
OAUTH
OAUTH wordt gebruikt wanneer het nodig is om autorisatie van de ene service naar de andere service door te geven zonder de feitelijke inloggegevens te delen, zoals het wachtwoord en de gebruikersnaam. Gebruik makend van OAUTH, gebruikers kunnen inloggen op een enkele service, toegang krijgen tot de bronnen van andere services en acties uitvoeren op de service. OAUTH is de beste methode om autorisatie door te geven van een Single Sign On-platform naar een andere service of platform, of tussen twee webapplicaties. De OAUTH werkstroom is als volgt:
- De gebruiker klikt op de knop Aanmelden van een service voor het delen van bronnen.
- De bronserver toont de gebruiker een autorisatietoekenning en leidt de gebruiker door naar de autorisatieserver.
- De gebruiker vraagt een toegangstoken aan bij de autorisatieserver met behulp van de autorisatietoekenningscode.
- Als de code geldig is na inloggen op de autorisatieserver, krijgt de gebruiker een toegangstoken dat kan worden gebruikt om een beschermde bron op te halen of toegang te krijgen tot de bronserver.
- Bij ontvangst van een aanvraag voor een beschermde bron met een toegangstoken, wordt de geldigheid van het toegangstoken gecontroleerd door de bronserver met behulp van de autorisatieserver.
- Als het token geldig is en alle controles doorstaat, wordt de beschermde bron verleend door de bronserver.
Een veelvoorkomend gebruik van OAUTH is het toestaan van een webapplicatie om toegang te krijgen tot een social media platform of een ander online account. Google-gebruikersaccounts kunnen om verschillende redenen met veel consumententoepassingen worden gebruikt, zoals bloggen, online gamen, inloggen met sociale-media-accounts en het lezen van artikelen op nieuwswebsites. In deze gevallen werkt OAUTH op de achtergrond, zodat deze externe entiteiten kunnen worden gekoppeld en toegang hebben tot de benodigde gegevens.
OAUTH is een noodzaak, omdat er een manier moet zijn om autorisatie-informatie tussen verschillende applicaties te verzenden zonder gebruikersreferenties te delen of openbaar te maken. OAUTH wordt ook gebruikt in bedrijven. Stel bijvoorbeeld dat een gebruiker toegang moet hebben tot het Single Sign On-systeem van een bedrijf met zijn gebruikersnaam en wachtwoord. De SSO geeft het toegang tot alle benodigde bronnen door OAUTH-autorisatietokens door te geven aan deze apps of bronnen.
Conclusie
OAUTH en SAML zijn beide erg belangrijk vanuit het oogpunt van een webtoepassingsontwikkelaar of systeembeheerder, terwijl het beide zeer verschillende tools zijn met verschillende functies. OAUTH is het protocol voor toegangsautorisatie, terwijl SAML een secundaire locatie is die de invoer analyseert en autorisatie aan de gebruiker geeft.
