我最近遇到了資料泄露，結果源代碼泄露了。我正在分析所有可能回來咬我的東西，其中包括 SAML 私鑰。
私鑰會被惡意使用嗎？我知道它提供了解密 SAML 請求的能力以及創建一些請求的可能性，但我對這個主題知之甚少。
謝謝！
Z
uj5u.com熱心網友回復：
首先只是作為一個注釋。永遠不要在源代碼中存盤任何秘密。有許多很好的解決方案可用于秘密管理。
接下來，與任何密鑰泄漏一樣。立即更改密鑰，使其不再被任何人使用。一個想法可能是嘗試監控舊密鑰的任何使用情況，以了解是否有人嘗試使用它。如果您在 SAML 通信的另一方有任何好的日志，您可以嘗試查看是否有來自其他 IP 的請求而不是您的請求。
至于風險。將此作為建議，真正的風險將取決于背景關系。如果您是 SP，則私鑰是用戶在向 IdP 發送訊息和解密來自 IdP 的訊息時進行身份驗證和簽名的用戶。簽名和身份驗證可能包括 AuthnRequest、可能的單點注銷訊息和工件系結工件交換。
在 AuthnRequest 中，通常對修改不敏感。
創建或修改 SLO 訊息可能會導致用戶在請求時退出。不好但不是最差的
破壞工件系結中的交換可以讓攻擊者獲得工件，但這通常并不比使用另一個系結的大多數情況最糟糕。
至于解密。這取決于您的加密內容的敏感性。Assertion of response 中的基本資訊默認情況下不應該是有意義的，但是您可以自己包含敏感的屬性，例如個人資訊。如果攻擊者獲得了通過用戶瀏覽器發送的斷言，他們可以使用您的私鑰讀取該資訊。
如果您是 IdP，這是最糟糕的情況之一。如果攻擊者可以將 IdP 重定向到與他們的服務器而不是真正的 IdP 對話，他們就可以發出 SAML 回應和斷言，并偽裝成他們想要的任何用戶進入任何連接的 SP。
在這種情況下，您必須真正開始對 SP 進行徹底調查以了解其影響。
希望這可以幫助。總結一下，如果你是個SP的話就不用太擔心了。如果您是 IdP，您可以搭便車。
轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/437544.html