🤜 👨‍🔬 🥘 कौन SAML 2.0 प्रमाणीकरण प्रोटोकॉल का उपयोग करता है 🤙🏿 🙅🏾 👩‍❤️‍👩

हमारे ब्लॉग में, हम अक्सर डेटा सुरक्षा और प्राधिकरण के मुद्दों पर स्पर्श करते हैं। उदाहरण के लिए, हमने नए WebAuthn पासवर्ड रहित प्राधिकरण मानक के बारे में बात की और यहां तक कि इसके डेवलपर्स में से एक का भी साक्षात्कार लिया । DNS डोमेन नाम प्रमाणीकरण के लिए DANE तकनीक पर भी चर्चा की गई । आज हम SAML 2.0 प्रोटोकॉल और इसका उपयोग करने वालों के बारे में बात करेंगे।

तस्वीरें - मार्को वर्च - सीसी बाय - फोटो संशोधित

SAML क्या है

एसएएमएल एक एक्सएमएल-आधारित मार्कअप भाषा है जो सिंगल साइन-ऑन (एसएसओ) तकनीक को रेखांकित करती है। यह उपयोगकर्ताओं को एकल लॉगिन / पासवर्ड जोड़ी के साथ अनुप्रयोगों (उदाहरण के लिए, कॉर्पोरेट) के बीच स्विच करने की क्षमता देता है।

एसएएमएल प्रोटोकॉल का उपयोग करते हुए, खाता प्रदाताओं (आईडीपी या पहचान प्रदाता) और सेवा प्रदाताओं (एसपी, या सेवा प्रदाता) एक दूसरे के साथ बातचीत करते हैं ताकि एप्लिकेशन उपयोगकर्ताओं की पहचान सुरक्षित रूप से स्थानांतरित हो सके। खाता प्रदाता की भूमिका सक्रिय निर्देशिका निर्देशिका सेवा और यहां तक कि लॉगिन और पासवर्ड के साथ एक सरल SQL डेटाबेस द्वारा निभाई जा सकती है। एक सेवा प्रदाता कोई भी वेब एप्लिकेशन हो सकता है जिसमें उपयोगकर्ता (SAML का समर्थन करते हुए) लॉग इन करना चाहता है।

सामान्य तौर पर, प्रमाणीकरण प्रक्रिया में निम्नलिखित चरण होते हैं:

उपयोगकर्ता एसपी से आवेदन में इसे अधिकृत करने के लिए कहता है।
सेवा प्रदाता IdP से लॉगिन पुष्टिकरण का अनुरोध करता है।
खाता प्रदाता एक विशेष एसएएमएल संदेश भेजता है जिसमें यह कहता है कि क्रेडेंशियल्स सही या गलत हैं।
यदि डेटा सही है, तो प्रदाता उपयोगकर्ता को अधिकृत करेगा।

इसे कौन लागू करता है

एसएएमएल, एसएएमएल 2.0 का नवीनतम प्रमुख अद्यतन 2005 में प्रकाशित हुआ था। और तब से, प्रोटोकॉल काफी व्यापक हो गया है। यह Salesforce , Slack, और GitHub जैसी सेवाओं द्वारा समर्थित है । इसका उपयोग राज्य सेवाओं पर प्राधिकरण के लिए ईएसआईए सूचना प्रणाली द्वारा भी किया जाता है।

ऐसा लगता है कि इतने लंबे समय में प्रोटोकॉल कुछ सांसारिक हो जाना चाहिए था, लेकिन हाल ही में यह फिर से रुचि बढ़ा रहा है - विषय ( यहां और वहां ) पर बड़ी संख्या में लेख प्रकाशित किए गए हैं, और सोशल नेटवर्क पर सक्रिय चर्चा है। SAML भी IaaS प्रदाताओं द्वारा लॉन्च किया गया था।

उदाहरण के लिए, एक महीने पहले, एसएएमएल ने एज़्योर एक्टिव डायरेक्ट्री प्रॉक्सी सर्विस शुरू की थी, जो वेब अनुप्रयोगों के लिए दूरस्थ पहुँच प्राप्त करने का एक उपकरण है। कुछ विशेषज्ञों के अनुसार, सेवा विकास कंपनी ने इस प्रोटोकॉल का उपयोग करने का निर्णय लिया, क्योंकि यह OAuth जैसे विकल्पों की तुलना में बड़ी कंपनियों के लिए अधिक विश्वसनीय SSO लॉगिन सुरक्षा प्रदान करता है।

जुलाई के अंत में, यह भी ज्ञात हुआ कि एसएएमएल क्लाउड में एसएएमएल दिखाई दिया । कंपनी को उम्मीद है कि इस तरह से ग्राहक प्राधिकरण पर कम समय बिताएंगे और व्यावसायिक महत्वपूर्ण समस्याओं को हल करने पर ध्यान केंद्रित कर पाएंगे।

न केवल क्लाउड प्रदाता, बल्कि गैर-लाभकारी संगठन भी प्रोटोकॉल पर ध्यान देते हैं। कुछ हफ़्ते पहले, सार्वजनिक सुरक्षा प्रौद्योगिकी गठबंधन (PSTA), जो सार्वजनिक सुरक्षा के लिए प्रौद्योगिकी को बढ़ावा देता है, ने अपने भागीदारों को SAML 2.0 और OpenID के आधार पर प्राधिकरण को लागू करने की सिफारिश की । इसके कारणों पर प्रकाश डाला गया: प्रौद्योगिकियों की परिपक्वता, उनकी व्यापकता और विश्वसनीयता।

प्रोटोकॉल राय

सबसे पहले, एसएएमएल-आधारित समाधान इंटीग्रेटर्स ध्यान दें कि प्रोटोकॉल बड़ी कंपनियों में सिस्टम प्रशासक के काम को सरल करता है। उन्हें प्रत्येक कर्मचारी के लिए विभिन्न कॉर्पोरेट अनुप्रयोगों के लिए दर्जनों पासवर्ड का ट्रैक रखने की आवश्यकता नहीं है। प्रत्येक कर्मचारी को सभी सेवाओं के लिए एकल साइन-ऑन के लिए केवल एक अद्वितीय उपयोगकर्ता नाम / पासवर्ड जोड़ी निर्दिष्ट करना प्रशासक के लिए पर्याप्त है। यह दृष्टिकोण एक और लाभ प्रदान करता है: यदि कोई कर्मचारी कंपनी छोड़ता है, तो यह एकल साइन-ऑन के लिए उसके पहचान डेटा को रद्द करने के लिए पर्याप्त है। लेकिन इसके नकारात्मक पक्ष भी हैं।

फोटो - मैथ्यू ब्रोडुर - अनप्लैश

उदाहरण के लिए, कमियों के बीच अत्यधिक जटिलता को उजागर करते हैं। एसएएमएल एक्सएमएल के आधार पर बनाया गया है, इसलिए यह सिंटैक्स-सघन है। साथ ही, प्रोटोकॉल में बड़ी संख्या में वैकल्पिक घटक होते हैं, जो एसएसओ के विन्यास को बहुत जटिल करते हैं।

हालांकि सुरक्षा विशेषज्ञ एसएएमएल को काफी विश्वसनीय मानते हैं, एसएसओ संचालन के लिए होटल पुस्तकालयों में कमजोरियां एक चिंता का विषय हैं। पिछले साल, डुओ लैब्स में सुरक्षा इंजीनियरों ने XML टिप्पणियों के प्रसंस्करण के साथ एक बग पाया । SAML संदेश में उपयोगकर्ता नाम फ़ील्ड को संशोधित करके, एक हमलावर किसी अन्य उपयोगकर्ता को प्रतिरूपित कर सकता है। हालाँकि, हमले को अंजाम देने के लिए एक महत्वपूर्ण शर्त पीड़ित के नेटवर्क पर एक खाता है।

किसी भी स्थिति में, इस भेद्यता को कम किया जा सकता है (उदाहरण के लिए, नेटवर्क पर पंजीकरण के लिए मेल पते और डोमेन के श्वेतसूची का उपयोग करके ), इसलिए, आईटी कंपनियों और क्लाउड प्रदाताओं के बीच प्रौद्योगिकी के आगे प्रसार को प्रभावित नहीं करना चाहिए।

^{हम अपने ब्लॉग और सोशल नेटवर्क में क्या लिखते हैं:} ^{नया ओपन सोर्स लाइसेंस} ^{ओपन आविष्कार नेटवर्क में तीन हजार से अधिक लाइसेंसधारी हैं - ओपन सोर्स सॉफ्टवेयर के लिए इसका क्या मतलब है} ^{इंटरनेट पर वर्चुअल सर्वर की सुरक्षा कैसे करें} ^{API का उपयोग करके बचत कैसे करें} ^{डाइजेस्ट: 5 किताबें और एक कोर्स नेटवर्क पर} ^{सिस्टम प्रशासन या पहले से ही शुरू करने की योजना बनाने वालों के लिए पुस्तकों का चयन}

हम 1cloud.ru पर " क्लाउड ऑब्जेक्ट स्टोरेज " सेवा प्रदान करते हैं। यह आपको बैकअप संग्रहीत करने और संग्रह डेटा के साथ काम करने की अनुमति देता है।

कौन SAML 2.0 प्रमाणीकरण प्रोटोकॉल का उपयोग करता है

SAML क्या है

इसे कौन लागू करता है

प्रोटोकॉल राय

More articles: