SAML: Μια αρχιτεκτονική αποτυχία σε μορφή fractal

Η κληρονομιά του SAML και το βάρος της πολυπλοκότητας

Το Security Assertion Markup Language (SAML) γεννήθηκε σε μια εποχή όπου οι εταιρικές υποδομές βασίζονταν σε VPN και τοπικά δίκτυα. Παρά την επιτυχία του στην καθιέρωση του Single Sign-On (SSO), το πρωτόκολλο αποτελεί πλέον ένα «fractal κακού σχεδιασμού». Η εξάρτησή του από την XML, μια γλώσσα που απαιτεί πολύπλοκη επεξεργασία, καθιστά την υλοποίηση ασφαλών βιβλιοθηκών εξαιρετικά δύσκολη, οδηγώντας συχνά σε κρίσιμα σημεία συμφόρησης (bottlenecks) και ευπάθειες.

Τα δομικά ελαττώματα: Από το XML στο C14N

Η αρχιτεκτονική του SAML πάσχει από τρία βασικά προβλήματα:

1. XML Complexity: Η διαχείριση των namespaces, των schemas και των DTDs εισάγει κινδύνους που δεν υφίστανται σε πιο σύγχρονα formats όπως το JSON.
2. Canonicalization (C14N): Η ανάγκη για συνεπή αναπαράσταση των δεδομένων πριν από την υπογραφή οδηγεί σε parser differential επιθέσεις, όπου ο IdP και ο SP ερμηνεύουν διαφορετικά το ίδιο payload.
3. Enveloped Signatures: Η ενσωμάτωση της υπογραφής μέσα στο ίδιο το payload που υπογράφεται καθιστά την επαλήθευση εξαιρετικά ευάλωτη σε αλλοιώσεις.

Η αναγκαιότητα του OIDC

Σε αντίθεση με το SAML, το OpenID Connect (OIDC) αναπτύχθηκε οργανικά, προσαρμοζόμενο στις ανάγκες του σύγχρονου ιστού (mobile, SPA, IoT). Η χρήση του JSON και η πλήρης αξιοποίηση του transport layer (HTTPS) απλοποιούν δραστικά την υλοποίηση. Η βιομηχανία οφείλει να προχωρήσει σε ένα αυστηρό πλάνο απόσυρσης του SAML, υιοθετώντας το OIDC ως το νέο πρότυπο για την ταυτοποίηση χρηστών, μειώνοντας έτσι την πολυπλοκότητα και ενισχύοντας τη διαλειτουργικότητα (interoperability) των συστημάτων.