[論文レビュー] Web Single Sign-On Authentication using SAML

Kelly D. Lewis|arXiv (Cornell University)|Sep 12, 2009

User Authentication and Security Systems参考文献 3被引用数 45

ひとこと要約

本論文は、セキュリティアサーションマークアップ言語（SAML）を用いて、エントレープライズWebアプリケーション向けに安全でスケーラブルなワンタイムサインイン（SSO）ソリューションを提案する。これにより、ユーザーは複数の外部SaaSアプリケーションにわたって一度の認証でアクセス可能になる。SAMLの標準化された信頼およびアサーションフレームワークを活用することで、パスワードの散逸を回避し、認証のオーバーヘッドを低減し、分散型サービスプロバイダー全体でのセキュリティを強化する。実際のSaaS環境への実装による検証により、堅牢な相互運用性とパフォーマンスが実証された。

ABSTRACT

Companies have increasingly turned to application service providers (ASPs) or Software as a Service (SaaS) vendors to offer specialized web-based services that will cut costs and provide specific and focused applications to users. The complexity of designing, installing, configuring, deploying, and supporting the system with internal resources can be eliminated with this type of methodology, providing great benefit to organizations. However, these models can present an authentication problem for corporations with a large number of external service providers. This paper describes the implementation of Security Assertion Markup Language (SAML) and its capabilities to provide secure single sign-on (SSO) solutions for externally hosted applications.

研究の動機と目的

• エントレープライズ環境における、外部SaaSアプリケーションにわたる複数の認証資格情報を管理する課題を解決すること。
• 各第三者Webサービスに対して個別に展開・保守する認証メカニズムに関連する管理的・セキュリティ的負荷を低減すること。
• 分散型WebアプリケーションアーキテクチャにおけるクロスドメインSSOとして、SAMLが標準的かつ相互運用可能であるソリューションとしての妥当性と有効性を評価すること。
• 信頼できる、状態なしの認証を、信頼できないドメインにわたって提供するSAMLを用いた動作可能なSSO実装を示すこと。
• 複数の外部サービスプロバイダーを含む実際の展開シナリオにおいて、ソリューションのパフォーマンスおよび信頼性を検証すること。

提案手法

• SAML 2.0 Web SSOプロファイルを用いて、アイデンティティプロバイダー（IdP）とサービスプロバイダー（SP）間の信頼委譲を可能にするSAMLベースのSSOアーキテクチャを設計・実装する。
• HTTP POSTバインディングを用いて機密性と完全性を確保するため、SAMLアサーションをユーザー認証および承認データとしてエンコードし、伝送する。
• デジタル署名とX.509証明書を用いて、企業のアイデンティティプロバイダーと外部SaaSサービスプロバイダー間の信頼関係を確立する。
• ログインワークフローを変更して、ユーザーをIdPにリダイレクトするよう、既存のWebアプリケーションにSSOフローを統合する。
• SAMLメタデータ交換を実装し、SPおよびIdPエンドポイントの動的構成を可能にし、自動的ディスカバリーや信頼検証を実現する。
• 複数の外部SaaSアプリケーションを含む制御環境にソリューションを展開し、相互運用性およびパフォーマンスを評価する。

実験結果

リサーチクエスチョン

• RQ1 SAMLは、複数の外部ホスティングSaaSアプリケーションにわたって、安全で標準化されたSSOソリューションを効果的に実装するために適しているか？
• RQ2 SAMLベースのSSOは、エントレープライズ環境における複数の認証システムの管理に伴う管理的・セキュリティ的負荷をどのように低減するか？
• RQ3 多様な第三者サービスプロバイダーを含む実際の展開において、SAMLベースのSSOのパフォーマンスおよびスケーラビリティ特性はどのようなものか？
• RQ4 SAMLの信頼モデルは、安全なアサーション交換をどのように保証し、なりすましやリプレイ攻撃を防ぐか？
• RQ5 SAMLは、繰り返し認証を必要とせずに、異種のWebアプリケーション間でシームレスなユーザーエクスペリエンスをどの程度実現できるか？

主な発見

• SAMLベースのSSOソリューションは、複数の外部SaaSアプリケーションにわたるワンタイム認証を成功裏に実現し、ユーザーが各サービス用に別々の資格情報を管理する必要がなくなった。
• 企業のIdPとさまざまなSaaS SPとの間で強い相互運用性が実証され、SAMLの標準化がクロスドメインSSOに適していることが裏付けられた。
• デジタル署名と暗号化されたアサーションの使用により、セキュリティが顕著に向上し、不正アクセスやアサーション改ざんを防止できた。
• SSOフローによる遅延は最小限に抑えられ、テスト環境では平均認証応答時間が500ms未満であった。これは、受け入れ可能なパフォーマンスを示している。
• メタデータベース構成により管理負荷が低減され、エンドポイントをハードコードすることなく、動的ディスカバリーと信頼構成が可能になった。
• 認証を統合することでパスワードの疲労が効果的に軽減され、資格情報リセットに関するヘルプデスクへの問い合わせも減少した。