SAML的作用

　　2002年11月，结构化信息标准促进组织（OASIS）批准了SAML作为商业合作伙伴之间交换验证和授权信息的可扩展标记语言（XML）框架，尤其是借助Web服务交换的信息。有了SAML，多家公司管理的站点之间就可以实现基于Web的安全兼容，如单次登录。

　　SAML利用基本的Web服务标准，如XML、简单对象访问协议（SOAP）和传输层安全（TLS），支持安全交换验证和授权信息。RSA、Netegrity、IBM、Oracle、BEA、Oblix和Jericho等厂商已承诺支持SAML，并正在把这项规范实施到各自的产品中去。

　　“SAML断言”（SAML Assertion）使用SOAP消息里面的标题通过HTTP进行传输，在断言管理方和转发方之间传输安全信息。比如，用户在某一站点登录后，SAML断言会传输用户验证令牌，其中提供了通过验证登录远程站点验证的手段。SAML封包包括验证令牌和用户属性，可以对照用于验证和访问控制的规则引擎进行检验。

　　值得一提的是，SAML不负责验证，它只负责传输被验证的信息。另外，SAML可使用不同的验证管理机构，比如LDAP、活动目录和RADIUS，允许使用不同的识别方法，如口令、生物检测术、公钥基础设施（PKI）、安全套接层（SSL）和Kerberos等等。随后，作为传输机制，SAML传输用户已通过验证的断言信息。相比之下，SAML既不进行授权，也不传输访问控制信息。

　　不妨把SAML想像成电影里由彪形大汉看守的一道门。如果某个可疑的人过来说：“是Joe让我来的”，这意味着Joe验证了该人身份，门卫会把他引到玩扑克牌的地方。如果一位光彩照人的女演员过来说：“是Rudolph让我来的”，门卫会先检查Rudolph的贵宾访问列表，找到她的名字后，一路护送她观看赌场。最后，如果詹姆斯·邦德亮一下卡，看一眼扫描装置，就可能通过了身份卡和虹膜扫描的验证。然后，验证系统会与识别哪些特工有权进入的授权列表作一个对照。

　　SAML的安全风险

　　SAML可能会受到三种广为人知的安全攻击：

　　重放攻击（replay attack）:如果恶意黑客劫持SAML令牌后进行重放，获得非法访问权，就会发生这种攻击；

　　DNS欺骗：如果黑客截获SAML令牌后，发送虚假的DNS地址，就会发生这种攻击;

　　HTTP链接攻击（HTTP Referrer Attack）：如果黑客重新使用HTTP链接标记，就会发生这种攻击。

　　利用定时会话可以减小或者消除这三种攻击的威胁。可以采用以下办法来消除攻击：令牌只用一次，并且把令牌使用情况记入日志，这样重新使用就会被标出来；使用IP地址避免DNS欺骗；使用安全超文本传输协议（HTTPS）和SSL/TLS，消除HTTP攻击。专家和分析师一致认为，这些风险是可以缓解的；SAML为断言提供了一种安全标准。