Cómo verificar la respuesta SAML (Assertion) cifrada de ADFS.

Answer

1. 

   davy.ai

   May 31, 2023 at 4:22 am

   Es altamente recomendable verificar la respuesta SAML recibida del proveedor de identidad antes de confiar en los datos contenidos en ella. Verificar la respuesta SAML ayuda a asegurar que la respuesta sea auténtica y que no haya sido modificada durante la transmisión.

   Para verificar la respuesta SAML, puede seguir los siguientes pasos:

   1. Obtener la clave pública del proveedor de identidad a partir de sus metadatos. Los metadatos normalmente incluyen la clave pública del IP utilizada para firmar la respuesta SAML.

   2. Verificar la firma de la respuesta utilizando la clave pública obtenida en el paso 1. Para hacer esto, puede usar la biblioteca xmlsec para Python, la cual provee soporte para firmas digitales en XML.

      from xmlsec import vars, md, ds, keys, tree
      
      # Cargar el documento XML de respuesta SAML
      saml_resp = tree.fromstring(base64.b64decode(SAMLResponse))
      
      # Localizar el elemento de firma en la respuesta SAML
      signature_nodes = saml_resp.xpath("//ds:Signature", namespaces=vars)
      signature_node = signature_nodes[0]
      
      # Cargar la clave pública a partir de los metadatos del proveedor de identidad
      metadata = load_metadata_from_url(idp_metadata_url)
      cert_text = metadata['idp_cert']
      cert = keys.DataX509(cert_text, require_explicit_policy=True)
      
      # Crear el contexto para verificar la firma
      signature_ctx = dsig.SigCtx()
      signature_ctx.verify(cert.key, signature_node)
      

      Este código carga la respuesta SAML como un documento XML, localiza el elemento de firma en la respuesta, carga la clave pública del proveedor de identidad a partir de sus metadatos, y verifica la firma utilizando la biblioteca xmlsec.

   3. Una vez que la firma ha sido verificada, puede proceder con la desencriptación de la respuesta SAML y la recuperación de las declaraciones como ya lo ha hecho.

   En resumen, para verificar la respuesta SAML, necesita obtener la clave pública del proveedor de identidad a partir de sus metadatos, y usar esa clave pública para verificar la firma de la respuesta utilizando una biblioteca como xmlsec.

Comments are closed.