[논문 리뷰] Web Single Sign-On Authentication using SAML

Kelly D. Lewis|arXiv (Cornell University)|2009. 09. 12.

User Authentication and Security Systems참고 문헌 3인용 수 45

한 줄 요약

이 논문은 기업 웹 애플리케이션을 위한 보안적이고 확장 가능한 단일 로그온(Single Sign-On, SSO) 솔루션을 제안한다. 이 솔루션은 보안 진술 마크업 언어(Security Assertion Markup Language, SAML)를 사용하여 사용자가 여러 외부 SaaS 애플리케이션을 통해 한 번의 인증으로 접근할 수 있도록 한다. SAML의 표준화된 신뢰 및 진술 프레임워크를 활용함으로써 암호 분산 문제를 방지하고, 인증 오버헤드를 줄이며 분산된 서비스 제공자 간의 보안성을 향상시킨다. 실제 SaaS 환경에서의 구현을 통한 검증을 통해 뛰어난 상호운용성과 성능을 입증하였다.

ABSTRACT

Companies have increasingly turned to application service providers (ASPs) or Software as a Service (SaaS) vendors to offer specialized web-based services that will cut costs and provide specific and focused applications to users. The complexity of designing, installing, configuring, deploying, and supporting the system with internal resources can be eliminated with this type of methodology, providing great benefit to organizations. However, these models can present an authentication problem for corporations with a large number of external service providers. This paper describes the implementation of Security Assertion Markup Language (SAML) and its capabilities to provide secure single sign-on (SSO) solutions for externally hosted applications.

연구 동기 및 목표

• 기업 환경에서 외부 SaaS 애플리케이션 간에 다수의 인증 자격 증명을 관리하는 데 발생하는 점점 증가하는 과제를 해결하기 위해.
• 각 제3자 웹 서비스에 대해 별도의 인증 메커니즘을 구축하고 유지보수하는 데 수반되는 행정 및 보안 오버헤드를 줄이기 위해.
• 분산된 웹 애플리케이션 아키텍처에서 교차 도메인 SSO를 위한 표준화되고 상호운용 가능한 솔루션으로 SAML의 타당성과 효과성을 평가하기 위해.
• 신뢰할 수 없는 도메인 간에 보안적이고 무상태의 인증을 지원하는 SAML을 활용한 작동 가능한 SSO 구현을 보여주기 위해.
• 다양한 외부 서비스 제공자와 함께 작동하는 실세계 배포 시나리오에서 솔루션의 성능 및 신뢰성을 검증하기 위해.

제안 방법

• SAML 2.0 웹 SSO 프로파일을 사용하여 SAML 기반 SSO 아키텍처를 설계하고 구현함으로써 신뢰 위임 기능을 신뢰 제공자(IdP)와 서비스 제공자(SP) 간에 구현한다.
• 사용자 인증 및 권한 정보를 담은 SAML 진술을 사용하여, 기밀성과 무결성을 확보하기 위해 HTTP POST 바인딩을 통해 전송한다.
• 디지털 서명과 X.509 인증서를 사용하여 엔터프라이즈의 신뢰 제공자와 외부 SaaS 서비스 제공자 간의 신뢰 관계를 수립한다.
• 로그인 워크플로우를 수정하여 사용자를 신뢰 제공자(IdP)로 리디렉션함으로써 SSO 프로세스를 기존 웹 애플리케이션에 통합한다.
• SAML 메타데이터 교환을 구현하여 SP 및 IdP 엔드포인트를 동적으로 구성함으로써 자동화된 발견 및 신뢰 검증을 가능하게 한다.
• 다양한 외부 SaaS 애플리케이션을 포함한 제어된 환경에 솔루션을 배포하여 상호운용성과 성능을 평가한다.

실험 결과

연구 질문

• RQ1 SAML은 여러 외부 호스팅 SaaS 애플리케이션 간에 보안적이고 표준화된 SSO 솔루션을 효과적으로 구현하는 데 적합한가?
• RQ2 SAML 기반 SSO는 기업 환경에서 다수의 인증 시스템을 관리하는 데 수반되는 행정적 및 보안적 부담을 어떻게 줄이는가?
• RQ3 다양한 제3자 서비스 제공자와 함께 실세계 배포 환경에서 SAML 기반 SSO의 성능 및 확장성 특성은 어떠한가?
• RQ4 SAML 신뢰 모델은 어떻게 안전한 진술 교환을 보장하고 위조 또는 재생 공격을 방지하는가?
• RQ5 SAML은 이질적인 웹 애플리케이션 간에 사용자 경험을 원활하게 지원하며 반복적인 인증 없이도 작동하는 데 얼마나 효과적인가?

주요 결과

• SAML 기반 SSO 솔루션은 외부 SaaS 애플리케이션 간에 단일 인증을 성공적으로 구현하여 사용자가 각 서비스에 대해 별도의 자격 증명을 관리할 필요가 없음을 입증하였다.
• 엔터프라이즈 IdP와 다양한 SaaS SP 간의 상호운용성이 뛰어나져 SAML의 표준화가 교차 도메인 SSO에 적합함을 검증하였다.
• 디지털 서명과 암호화된 진술의 사용이 보안성을 크게 향상시켜 무단 접근 및 진술 변조를 방지하였다.
• SSO 프로세스는 최소한의 지연 시간을 유발하였으며, 테스트 환경에서 평균 인증 응답 시간이 500ms 이내로 유지되어 만족스러운 성능을 보였다.
• 메타데이터 기반 구성 방식은 관리 오버헤드를 줄였고, 하드코딩된 엔드포인트 없이도 동적 발견 및 신뢰 설정이 가능하게 하였다.
• 솔루션은 중앙 집중식 인증을 통해 암호 피로를 효과적으로 완화하고, 자격 증명 재설정과 관련된 고객 지원 문의를 감소시켰다.