如果我们已经通过 SSL (https) 进行通信，是否有必要实施断言级别加密（和属性级别加密）？
问问题
355 次
2 回答
2
这取决于。你的断言中的数据有多敏感？通常，当实际用户数据被视为敏感或机密时，您会看到消息或属性级加密。如果您的 SAMLResponse 未加密，理论上有人（浏览器插件）可以检查其内容。因此，虽然它经过数字签名以防止篡改，但数据可能会泄露。
于 2014-10-22T14:37:12.400 回答
2
如果您使用浏览器配置文件，SP 和 IdP 通过用户的浏览器交换消息，那么 SSL 本身并不能在所有情况下都防止中间人。例如，用户使用不安全的 Wi-Fi 并且恶意用户拦截流量，将自签名 SSL 证书交换为 CA 颁发的证书。如果用户点击警告，他们的传输级安全性将被否定，并且可能会破坏机密性。另一方面，如果断言的敏感部分通过消息级加密进行保护，则上述场景中的中间人在用户判断不佳的情况下仍然无法读取消息，并保证了机密性。
于 2014-10-27T00:00:20.663 回答