Небезопасная аутентификация. Ищем баги в приложениях с Single Sign-On на базе SAML — «Хакер»

Что такое toefl и ielts

Самые популярные экзамены — TOEFL и IELTS. 150 стран и 10 тысяч учебных заведений требуют их сертификаты.

TOEFL расшифровывается как Test of English as a Foreign Language, тест на знание английского языка как иностранного. Это экзамен для учебы. Он нужен, чтобы оценить, как иностранные студенты американских вузов справятся с учебой на английском языке.

IELTS — International English Language Testing System, международная система оценки знания английского языка. У IELTS три варианта: академический, общий и упрощенный. Последний сдают те, кто хочет получить гостевую визу, он называется IELTS Life Skills.

Экзамены TOEFL и IELTS во многом похожи:

1. Они очень популярны: TOEFL принимают в 130 странах, IELTS в 140.
2. Чтобы получить учебную или рабочую визу, можно сдать любой.
3. Состоят из четырех частей: чтение, аудирование, письмо и говорение.
4. Действуют два года.
5. Быстро приходит результат: сертификат выдают в течение 10 дней после сдачи TOEFL и 13 дней после IELTS. Для сравнения, сертификат любого кембриджского экзамена вы получите через два месяца.
6. Стоят примерно одинаково, ниже я подробно посчитаю стоимость экзаменов и подготовки для разных регионов.

Что такое есиа

Единая Система Идентификации и Аутентификации — российская информациия система, обеспечивающая доступ (регистрация, аутентификация) на сайты государтсвенных структур и некоторых коммерческих организаций. Подробнее на википедии

В процессе интеграции ЕСИА, система сможет отправлять запрос на ЕСИА и при успешной авторизации получать в качестве ответа данные пользователя

Сценарий авторизации выглядит примерно так:

Какой нужен уровень английского, чтобы сдать экзамен

IELTS и TOEFL трудно не сдать. Сертификат выдадут даже начинающему. Если вы случайно выбрали несколько правильных ответов в тесте или сказали пару слов экзаменатору, вам уже поставят минимальный балл. Другой вопрос, что такой сертификат вам нигде не пригодится: с ним нельзя поступить в колледж или получить визу.

Требования разные, но в целом ориентир примерно такой: 5,5—6,5 IELTS — минимальный балл для большинства студенческих и общих рабочих виз. 78—82 TOEFL — средний балл для поступления в университет США не из первой сотни.

Стоит выяснить свой уровень языка, прежде чем регистрироваться на экзамен. Самый надежный способ — пройти устную беседу с преподавателем и выполнить несколько лексико-грамматических экзаменационных заданий. Во многих языковых центрах устное тестирование проводят бесплатно. Чтобы получить точную оценку, сходите в несколько.

Что за международные экзамены

Международный экзамен проверяет, как хорошо вы говорите по-английски, если этот язык для вас неродной. Экзаменов больше 50, но популярных всего десяток. Это линейка кембриджских экзаменов — FCE, CAE, CPE, — а еще IELTS General, IELTS Academic, IELTS Life skills, TOEFL и PTE.

Международные экзамены бывают общими, академическими и профессиональными. У каждой страны, компании и вуза свои требования, но в целом картина такая: общие экзамены нужны для жизни в стране, академические — для учебы, профессиональные — для работы.

Определить, какой экзамен вам нужен, очень просто: он всегда указан на сайте вуза, в который вы поступаете, или консульства страны, где хотите жить.

Xpath-инъекции

Еще одна интересная уязвимость — это XPath-инъекция. Рассмотрим, как происходит проверка подписи SAML Response. Обычно код, осуществляющий проверку подписи, ищет элемент <ds:Signature> и из дочернего элемента <ds:Reference> извлекает атрибут URI.

Если приложение не производит проверку значения URI на наличие XPath-конструкций при составлении выражения, то такая реализация уязвима к XPath-инъекциям.

Свежая XPath-инъекция найдена в конце 2021 года в ruby-saml. Ниже представлена строка из xml_security.rb, которая стала причиной инъекции:

hashed_element = document.at_xpath("//*[@ID='#{uri[1..-1]}']")

В случае с Ruby эта уязвимость приводит к RCE. Во всем виновата особенность реализации XPath в Ruby, которая выполняет shell команды внутри обратных кавычек. Если приложение использует ruby-saml, то для определения наличия уязвимости необходимо в атрибут URI элемента подставить следующее значение:

Xxe повсюду

SAML-сообщения представляют собой XML. Это означает, что тестируемое приложение потенциально подвержено уязвимостям, связанным с парсингом XML. Сюда можно отнести уязвимости XML External Entities (XXE), Server-Side Request Forgery (SSRF) и XML Entity Expansion (XEE, в массах более известна как Billion Laughs attack).

Эти уязвимости очень распространены, когда речь идет о парсинге XML. На страницах Хакера про эти уязвимости не раз писали, поэтому я не буду подробно на них останавливаться. Только порекомендую хорошую «методичку» по данным уязвимостям. Эти уязвимости работают, несмотря на то что SAML-сообщение подписано, так как проверка подписи происходит уже после парсинга XML.

Первым делом при тестировании безопасности SAML SSO нужно перехватить сообщение Response и заменить его на следующее:

Арсенал для тестирования saml sso

На данном этапе у тебя есть тестируемое приложение с работоспособным SAML SSO. Разберемся, какие инструменты использовать для тестирования безопасности.

Конечно, в первую очередь утилиты с сайта, которые ранее упоминались:

• раздел CODE/DECODE позволит тебе закодировать или декодировать сообщения SAML;
• раздел SIGN позволит тебе подписать SAML-сообщения, используя секретный ключ;
• раздел VALIDATE позволит тебе проверить подпись у SAML-сообщения;
• раздел ENCRYPT/DECRYPT позволит тебе зашифровать или расшифровать SAML-сообщения, для расшифровки понадобится секретный ключ;
• раздел EXAMPLES содержит примеры различных SAML-сообщений.

Если ты занимаешься веб-безопасностью, то, скорее всего, в твоем хакерском арсенале есть Burp Suite. Я представлю два плагина, которые предназначены для тестирования SAML. Ты можешь использовать эти плагины даже с бесплатной версией Burp Suite.

Первый плагин — это SAML Editor, написан на Python. Для того чтобы он заработал, придется установить Jython standalone и указать в настройках Burp Extender путь к Jython. Плагин очень простой, он добавляет дополнительную табу с именем SAML, которая позволяет редактировать SAML-сообщения на лету (рис. 12). Больше он ничего не умеет, его удобно использовать, чтобы быстро отредактировать сообщение.

Атаки xsw

XSW — это атака на процедуру проверки подписи, она заключается в том, что приложение проверяет подпись одних данных, а при обработке использует другие. В контексте SAML данная атака позволяет атакующему, имеющему учетную запись в приложении, аутентифицироваться как любой другой пользователь.

Предположим, что IdP подписывает только assertion и не подписывает само сообщение. Наше приложение принимает Response, проверяет подпись assertion и аутентифицирует пользователя. SAML Response показан на рис. 15. При проверке подписи приложение ищет при помощи XPath элемент , у которого атрибут ID равен значению abc.

Теперь попробуем модифицировать оригинальный SAML Response. Добавим в сообщение элемент <samlp:Extensions>, который содержит из оригинального сообщения. По спецификации SAML элемент <samlp:Extensions> является необязательным и может содержать внутри себя любые элементы.

Также в сообщение вместо оригинального элемента <saml:Assertion ID = “abc”> мы вставляем свой элемент <saml:Assertion ID = “evil”>. В качестве подписи для <saml:Assertion ID = “evil”> мы используем подпись для <saml:Assertion ID = “abc”>. После манипуляций SAML Response выглядит, как показано на рис. 16.

При проверке подписи приложение использует элемент <saml:Assertion ID = “abc”>, который является дочерним для . Проверка подписи успешно проходит. Но для аутентификации пользователя приложение использует элемент <saml:Assertion ID = “evil”>. Это и есть XSW-атака.

Атаки на зашифрованные assertions

SAML позволяет шифровать assertions, если assertion содержит конфиденциальную информацию. SAML не позволяет шифровать отдельные атрибуты, поэтому assertion шифруется целиком. Пример SAML Response с зашифрованным assertion доступен здесь.

В сообщение Response вместо элемента <saml:Assertion> присутствует элемент <saml:EncryptedAssertion>, зашифрованный и закодированный в Base64 assertion, а также симметричный ключ шифрования, оба находятся внутри элементов <xenc:CipherData>.

Для шифрования симметричного ключа шифрования используется алгоритм RSAES-PKCS1-v1_5. Для шифрования данных обычно используется блочный шифр (AES) в режиме CBC.

Если при расшифровывании assertion приложение выступает в качестве Оракула (Oracle), то после расшифровки оно сообщает о том, что padding неверный или расшифрованное сообщение не является валидным XML. Приложение может сообщать это в виде явного сообщения об ошибке либо в виде различного тайминга.

Есть еще одно условие для проведения атаки на XML-шифрование: атакующий должен иметь возможность изменять зашифрованные данные. Подпись сообщения проверяется раньше, чем расшифровываются данных. Поэтому приложение должно быть уязвимо к ошибкам проверки подписи, которые были рассмотрены ранее.

Юрай Соморовски (Juraj Somorovsky) опубликовал работу, посвященную атакам на XML-шифрование. В работе описан алгоритм, который позволит атакующему расшифровать при выполнении двух условий: приложение уязвимо к ошибкам проверки подписи и приложение выступает в качестве Оракула.

Также в 2021 году Юрай Соморовски на конференции Black Hat EU представил утилиту WS-Attacker, которая реализует алгоритм из его работы про атаки на XML-шифрование. Ссылка на презентацию тут. Я же опишу основные идеи алгоритма.

Процесс расшифровывания assertion выглядит, как это показано на рис. 17. Предположим, что для шифрования используется AES-CBC (размер блока 16 байт). Расшифрованный i-й блок Pi получается следующим образом:

Pi = Ci-1 ⨁ D(k,Ci) = Ci-1 ⨁ x

Ci-1 обозначает i-1 блок шифротекста, Ci — соответственно, i блок шифротекста. Операция расшифровывания с использованием алгоритма AES обозначена как D(k,Ci), результат этой операции обозначен как x.

Рассмотрим, каким образом осуществляется паддинг при XML-шифровании. Допустим, у нас есть следующий XML — <ABC/>. XML кодируется в UTF-8. То есть мы получаем следующий закодированный XML (6 байт) — 0x3c 0x41 0x42 0x43 0x2f 0x3e.

Блок шифрования для AES составляет 16 байт. Поэтому мы должны использовать 10 байт паддинга — 0x3c 0x41 0x42 0x43 0x2f 0x3e 0x?? 0x?? 0x?? 0x?? 0x?? 0x?? 0x?? 0x?? 0x?? 0x0A (0x?? означает любое значение байта). Последний байт — это длина паддинга (равен 0x0A в нашем случае).

Предположим, что мы хотим расшифровать блок шифротекста Ci (без знания ключа шифрования). Мы оставляем только блоки шифротекста с номерами от 0 до i: C0, …, Ci. Далее мы модифицируем блок шифротекста Ci-1 особым образом и отправляем SAML Response приложению для расшифровки.

Наша задача — сделать такую модификацию Ci-1, чтобы при расшифровке на стороне приложения получился валидный XML и паддинг был равен одному байту (последний байт расшифрованного блока равен 0x01). Модифицированный блок Ci-1 обозначен как C~i-1.

Если мы нашли C~i-1, то мы сможем вычислить последний байт Pi (или Pi[16]) расшифрованного блока (открытого текста). Сначала мы вычисляем x[16] как

x[16] = 0x01 ⨁ C~i-1[16]

И затем

Pi[16] = 0x01 ⨁ C~i-1[16] ⨁ Ci-1[16]

На следующем шаге мы получаем расшифрованное значение для остальных байтов (с 1-го по 15-й). Допустим, мы хотим вычислить Pi[3]. Для этого мы добавляем (операция XOR) C~i-1[3] различные значения (назовем их «маски») и смотрим ответ приложения — возвращается ли ошибка вследствие невалидного XML или нет.

Атаки через сжатие сообщений saml

IdP может сжимать сообщение SAML Response и затем его преобразовывать в Base64. Поэтому тестируемое приложение может ожидать, что сообщение придется распаковывать.

Используя Python, мы можем получить закодированный SAML Response (Deflate Base64) следующим образом:

Безопасное управление сертификатами подписи и шифрования

Рекомендуется использовать сертификаты с надежными ключами шифрования для цифровой подписи или шифрования сообщений SAML, а также обновлять или заменять сертификаты каждые три-пять лет.

В цифровой форме подписать запросы на вход и выход из saml и подписать ответ подтверждения saml

Подписи используются для обеспечения целостности сообщений SAML и, таким образом, служат защитой от атак «человек посередине» (MITM). Цифровая подпись запроса SAML также гарантирует, что запрос отправляется доверенным SP, что позволяет IDP лучше справляться с атаками типа «отказ в обслуживании» (DOS).

Включение подписанных запросов требует обновления IDP всякий раз, когда сертификат подписи, используемый SP, обновляется или заменяется.

Настройте IDP SAML для подписания ответа SAML, чтобы избежать изменения ответа подтверждения SAML при передаче.

Включение подписанных запросов требует обновления SP (ArcGIS Online) всякий раз, когда сертификат подписи, используемый IDP, обновляется или заменяется.

В чем разница между toefl и ielts

Экзамены разработаны в разных странах: TOEFL — в США, IELTS — в Великобритании и Австралии. В них представлены разные варианты английского: американский и британский. Это нужно учитывать, выбирая экзамен. За лексические расхождения оценку не снижают, но в условиях стресса бывает сложно подстроиться к непривычному произношению.

Экзамены идут долго: TOEFL — 4 часа, IELTS — 2 часа 45 минут. В TOEFL есть десятиминутный перерыв, а IELTS проходит без остановок.

Чтение и аудирование у TOEFL проще: это вопросы с четырьмя вариантами ответа. В IELTS заданий гораздо больше и они разнообразнее: нужно подобрать однокоренные слова, озаглавить параграфы, заполнить пропуски подходящими по смыслу словами.

Вход с использованием saml

ArcGIS Online поддерживает корпоративные учетные записи SAML, инициированные провайдером сервиса (SP) и учетные записи, инициированные провайдером идентификаций (IDP) SAML. Процедуры входа с их использованием отличаются.

Где подготовиться к международному экзамену по английскому

Запомнить

1. Подготовка к международным экзаменам IELTS и TOEFL не улучшает знание языка. Вас просто учат, как сдавать этот экзамен.
2. Регистрируйтесь на экзамен заранее: регистрация на IELTS заканчивается за 35 дней до экзамена.
3. Иногда выгоднее сдавать экзамен в другом городе.
4. Лучший способ подготовки — решать настоящие экзаменационные задания.
5. Когда решаете тестовые задания, обязательно засекайте время на выполнение.

Инициированные учетные записи idp

С учетными записями, инициированными провайдером сервиса, участники напрямую входят на веб-сайт ArcGIS Online и видят опции, позволяющие использовать корпоративные учетные записи SAML, инициированные провайдером сервиса, или учетные записи ArcGIS.

Если участники выбирают опцию провайдера сервиса, они перенаправляются на веб-страницу (менеджер входа провайдера корпоративной аутентификации), на которой им предлагается ввести корпоративные имя пользователя и пароль SAML. После проверки учетной записи участника IDP передает в ArcGIS Online проверенные данные участника, и участник снова перенаправляется на веб-сайт ArcGIS Online.

Если участник выбирает опцию учетной записи ArcGIS, открывается страница входа на веб-сайт ArcGIS Online. Участник может ввести свое имя пользователя и пароль ArcGIS для доступа к веб-сайту.

Использование сертификата idp – 2021

Ищем уязвимости в saml sso

Самая интересная часть статьи — это какие уязвимости в реализации SAML SSO ты можешь найти на стороне приложения. Поехали.

Как выбрать свой способ подготовки

По моему опыту, чтобы сдать TOEFL и IELTS хотя бы на 70 и 6 соответственно, нужно говорить по-английски на уровне Upper-Intermediate, или B2. Так вы сможете готовиться к экзамену без паники и зубрежки.

На мой взгляд, комфортный темп — это два занятия в неделю по 2—3 часа и три часа на домашнюю работу. Чтобы получить результат, учиться надо не меньше четырех месяцев. В каждом экзамене 8—10 тем, которые надо проработать. Если заниматься меньше, вы просто не успеете их пройти.

Я советую заниматься каждой темой не меньше трех уроков. Кроме заданий из самого экзамена делать лексические упражнения. Наконец, делайте 2—3 настоящих теста в неделю и обязательно засекайте время. Чем больше вы будете практиковаться в условиях, приближенных к экзаменационным, тем лучше усвоите логику заданий и тем быстрее будете с ними справляться.

Разработчики кембриджских экзаменов утверждают: чтобы перейти на следующий языковой уровень, нужно учиться не меньше 200 часов. В IELTS один уровень соответствует четырем рядом стоящим оценкам: если у вас уровень B1, можно рассчитывать на 4,5—6 баллов. Получается, что за каждые новые полбалла придется заплатить 50 часами обучения.

Как готовиться к ielts и toefl самостоятельно

Я сдавала пять международных экзаменов: на сертификат преподавателя английского языка и для работы в международной компании. Ко всем экзаменам я готовилась сама, это самый дешевый способ. Для подготовки я решала настоящие задания экзаменов, читала учебники и общалась на тематических сайтах.

Задания экзаменов. В сети много тестов из международных экзаменов предыдущих лет. Вот мой топ-3 бесплатных ресурсов с настоящими заданиями IELTS:

1. Официальные пробные тесты.
2. Тесты Британского совета.
3. Задания соразработчика теста IDP.

Задания TOEFL тоже бесплатные:

1. Официальные пробные тесты.
2. Тесты Magoosh — лидера подготовки к экзаменам.
3. Тесты портала ExamEnglish.

Самоучители. Я рекомендую самоучители, в которых есть не только ответы, но и объяснения, почему вариант верный. Один из лучших — The official guide to new TOEFL издательства McGraw and Hill.

Сборники лексических упражнений. Советую серии Test your vocabulary for TOEFL, Test your vocabulary for IELTS, Check your vocabulary for TOEFL, Check your vocabulary for IELTS. В них есть все темы, которые встретятся вам на экзамене, все слова даны в контексте, много синонимов, идиом, живого настоящего языка.

Учебники крупных издательств. Cambridge University Press, Oxford University Press, Macmillan, Pearson Longman выпускают специальные учебники для подготовки к экзаменам. Их я не советую. Они предназначены для классических уроков: в них много заданий на разогрев, парных и групповых упражнений — все это бесполезно для индивидуальной работы.

Как готовиться с преподавателем и сколько это стоит

В группе из 6—8 человек заниматься дешевле всего. Стоимость академического часа в популярной школе Москвы — около 700 рублей, в Нижнем Новгороде — 300, в Калининграде — 200.

В группе заниматься веселее: учитель дает не только экзаменационные задания, но и разговорные упражнения, можно сравнивать свою речь с тем, как говорят одногруппники, обсуждать варианты ответов.

У группового формата есть два недостатка. Первый — преподаватель не учитывает ваши индивидуальные особенности, например слабую грамматику, а просто натаскивает на типы экзаменационных заданий. Второй — вы связаны общим расписанием, например нельзя заниматься каждый день или по утрам.

У репетитора стоимость часа занятий — от 1000 рублей. Сложность в том, что преподавателя языковой школы проверяет работодатель, а оценивать репетитора придется самостоятельно.

Я рекомендую два критерия выбора репетитора:

1. Репетитор сам сдавал нужный вам экзамен и получил не меньше 100 за TOEFL или 7.5 за IELTS, или у него есть другой международный сертификат по английскому, подтверждающий уровень не ниже С1.
2. Репетитор прошел специальное обучение по подготовке к нужному вам экзамену и может доказать это свидетельством.

Курс подготовки длится от 40 до 90 академических часов. Академический час — это 40 или 45 минут, зависит от языковой школы. Стандартное расписание — два занятия в неделю по 2—3 часа. Значит, курс идет от 2,5 до 4 месяцев. Это при условии, что ваш уровень с самого начала соответствовал той оценке, что вы хотите получить.

Часто школы предлагают интенсивные курсы подготовки на 5—7 дней: каждый день занятия длятся от трех часов. Обычно интенсив берут для решения узкой задачи, например научиться писать эссе. Я советую их, только если ваш уровень английского не ниже B2, потому что формат таких занятий предполагает очень быстрое знакомство с экзаменом и интенсивную проработку всех частей.

Групповые занятия:

Репетитор:

Самостоятельная подготовка: если вы оценили свой уровень как B2 и выше и решили готовиться сами, можно сэкономить и на книгах. Классический учебник вам не понадобится, а тесты есть в сети. Из обязательных трат — только сам экзамен, 19 500 Р.

Как перенести или отменить экзамен

TOEFL можно отменить в личном кабинете на официальном сайте или позвонить в тот центр, где зарегистрировались. Вам вернут половину стоимости — 130 $⁣ (8320

Р

). Другие платежи — за премиальный пакет или позднюю регистрацию — не вернут. Отменить запись надо не позже чем за четыре дня до экзамена. Если вы хотите перенести экзамен, придется заплатить еще 60 $⁣ (

3840Р

), чтобы выбрать другой день.

Как подготовиться к ielts и toefl

Подготовка к экзамену — это знакомство с форматом заданий. Она тренирует не знание языка, а только навыки сдачи экзамена.

Например, в академическом варианте IELTS одно из письменных заданий — это описание диаграммы. Нужно быстро, за 20 минут, проанализировать информацию, составить резюме, выдержать структуру и при этом использовать тематическую лексику. Тот, кто не знает, как сказать по-английски «колебаться», «выровняться», «переменные», не справится с этим заданием, даже если хорошо знает язык.

Подготовка к IELTS и TOEFL не улучшает ваш английский, а оценка редко отражает реальный уровень владения языком. На мой взгляд, оценка показывает другое:

1. Насколько вы поняли специфику этого экзамена.
2. Как вы справляетесь со стрессом и большим объемом заданий в сжатые сроки.
3. Как у вас развиты аналитические навыки. В IELTS, например, всего 21 тип заданий, они повторяются в каждом тесте. Чем раньше вы начнете их узнавать, тем выше будет балл.

Поэтому главная задача подготовки — понять логику экзамена.

Как попасть на экзамен

Экзамены проводятся в заранее установленные даты по предварительной регистрации. Чтобы зарегистрироваться, нужно заполнить форму на официальном сайте: ФИО, дата рождения, место жительства, выбранный центр, контактные данные и способ оплаты. Платить за экзамен почти везде нужно при регистрации.

Если вы не успели, на TOEFL есть поздняя регистрация. Она стоит 40 $⁣ (2560

Р

) и дает еще три дня. Зарегистрироваться на TOEFL меньше чем за четыре дня до экзамена нельзя.

На IELTS тоже можно зарегистрироваться позже чем за 35 дней, но только если есть свободные места. В таком случае центр сам продлевает регистрацию и отмечает в расписании экзаменов. Это бесплатно.

Как проходят экзамены

И IELTS, и TOEFL можно сдать в бумажном и электронном виде.

Бумажный формат похож на ЕГЭ. Экзаменатор раздает задания, засекает время для каждой части. Задания по аудированию проигрывают с компьютера для всей аудитории.

Сильнее всего различаются устные части экзамена. На IELTS вы будете общаться один на один с экзаменатором. Экзаменатор — живой человек, его можно переспросить, если вы не поняли вопрос, можно просто по-человечески пошутить и разрядить обстановку, если вдруг от волнения кажется, что вы забыли вообще все английские слова.

Какой экзамен нужно сдавать

Бывает три типа экзаменов: общий, академический, профессиональный.

К общим экзаменам относится кембриджская линейка — YLE, KET, PET, FCE, CAE, CPE, а также IELTS, IELTS Life skills, PTE. Они нужны, чтобы получить визу в страну, где английский — государственный язык, или подтвердить знание английского для работы в международной компании.

Академические экзамены — TOEFL, IELTS Academic, PTE Academic, GRE, GMAT. Они нужны, чтобы подать документы на обучение в зарубежном вузе, колледже, получить учебную визу или стипендию на обучение за границей.

Чаще всего людям нужно сдавать британский IELTS или американский TOEFL. О них я и расскажу.

Конфигурация файла метаданных

Теперь необходимо сгонфигурировать файл метаданных для того, чтобы его отправить вместе с заявкой в ЕСИА

Файл метаданных доступен по ссылке: ServerName/simplesaml/module.php/saml/sp/metadata.php/esia?output=xhtml

Пример файла метаданных:

Настраиваем saml sso в приложении

После того как мы разобрались с теорией, приступим к настройке SAML SSO для тестируемого приложения. У нас есть развернутое приложение, теперь нам нужен SAML IdP (провайдер). Я предпочитаю OneLogin, он популярен, и многие приложения его поддерживают.

Регистрируем бесплатный девелоперский аккаунт. Идем в APPS → Company Apps, затем нажимаем кнопку Add Apps. В строке поиска необходимо набрать SAML Test Connector, как показано на рис. 3. Далее выбираем SAML Test Connector (IdP w/attr).

Задаем имя для коннектора и нажимаем кнопку Save.

На стороне нашего приложения идем в настройки SAML IdP (рис. 4). Нам нужно скопировать значения полей Issuer, ACS URL, Logout URL. Эти три параметра нам генерирует приложение, и они используются для настройки коннектора на стороне IdP.

Параметры, которые сгенерировало приложение, необходимо перенести в настройки коннектора, как показано на рис. 5. На этом все, настройка коннектора завершена!

Переходим на вкладку SSO. Копируем значения X.509 certificate, Issuer URL, SAML Endpoint и SLO Endpoint из настроек коннектора в настройки нашего приложения (рис. 6).

Настройка simplesamlphp для подключения к тестовой среде есиа

Для интеграции необходимы сертификат (cert.crt) и ключ (key.key). Важно(!) с ГОСТовским сертфикатом ничего не выйдет, можно получить бесплатный сертификат, погуглив как это делается, либо выпустить сертификат самому. Ключ и сертификат кладем в папку simplesamlphp/cert

Для конфигурации SimpleSAMLphp необходимо отредактировать следующие файлы:

Важное замечание — время на сервере не должно отличаться от времени ЕСИА больше 1 минуты.

simplesamlphp/config/config.php:

//путь к папке с сертификатом и ключом относительно директории simplesamlphp
'certdir' => 'cert/'

// соль
'secretsalt' => 'defaultsecretsalt',
//Контакты администратора
'technicalcontact_name' => 'Familiya Imya',
'technicalcontact_email' => 'po4ta@domen.zone',

Важно знать, есть ли у системы entityID, если его нет, то в поле ‘entityID’ необходимо указать адрес системы

simplesamlphp/config/authsources.php:

Настройка учетных записей saml

Процесс настройки провайдеров идентификации с ArcGIS Online описан ниже. Перед продолжением рекомендуется связаться с администратором вашего IDP или объединения нескольких IDP для получения параметров, необходимых для настройки.

Например, если организация использует Microsoft Active Directory, следует связаться с его администратором, чтобы выполнить настройку и активацию SAML на стороне корпоративного IDP и получить параметры, необходимые для настройки на стороне портала ArcGIS Online.

Общие сведения

На сайте МинКомСвязи размещен документ, именуемый «Методические рекомендации по использованию Единой системы идентификации и аутентификации», последнюю актуальную версию всегда можно найти на сайте МинКомСвязи. Документ сам по себе немаленький — почти 200 страниц, и, конечно же мало кто захочет его подробно изучать, да и понятен он будет не всем желающим, поэтому опишу тут процесс в сухом остатке.

Подключить ИС к ЕСИА возможно двумя способами:

Если сравнивать 2 подхода, то по факту разницы между ними большой нет, есть несколько плюсов у способа на базе подхода REST. Есть ребята, которые на мой взгляд за немалые деньги подключают ЕСИА и о преимуществах REST они написали тут.

Но для подавляющего большинста случаев первый подход охватывает все необходимые функции. Поэтому расскажу о внедрении ЕСИА посредством SAML 2.0

Отправка заявки на подключение ис к продуктивной среде есиа

Теперь формируем заявку по форме «М» Регламента информационного взаимодействия Участников с Оператором ЕСИА. Она не сильно отличается от формы Е, но внимательно изучите форму, необходимо в форме добавить запрашиваемые данные и уже не надо прикреплять файл сертификата.

В файлах simplesamlphp/config/authsources.php, simplesamlphp/metadata/saml20-idp-remote.php необходимо заменить idp поставщика услуг с Тестовой среды на продуктивную:

Преобразования и цифровая подпись

Стандарт цифровой подписи в XML предусматривает различные трансформации (преобразования) XML-документа перед его подписью. У элемента <ds:Signature> есть дочерний элемент <ds:Transforms>, который содержит несколько элементов <ds:Transform>. Каждый элемент <ds:Transform> определяет одно преобразование.

Возможны следующие преобразования:

SAML IdP при формировании подписи проводит последовательность трансформаций. Проверяющая подпись сторона — наше приложение должно осуществить ту же самую последовательность преобразований в процессе проверки валидности подписи.

Провайдеры идентификации saml

В следующих руководствах описывается порядок применения SAML-совместимых провайдеров идентификации с ArcGIS Online.

Сколько стоит сдать экзамен

В стоимость экзамена входит регистрация, само тестирование, проверка работы и сертификат. Подготовка к экзамену в стоимость не входит.

Даже если в вашем городе есть экзаменационный центр, может быть выгоднее поехать туда, где экзамен дешевле, если расходы на дорогу будут меньше, чем разница в стоимости. Двое моих учеников ездили сдавать экзамен в Москву. Один на своей машине, второй на поезде. Дешевый билет стоит 500 рублей, еще 100 на метро, а еду они взяли с собой. Получилось выгоднее почти на 5 тысяч рублей.

TOEFL для всех, кто сдает в России, стоит 260 $⁣ (16 640

Р

), в Беларуси — 205 $⁣ (

13 120Р

), а на Украине — 180 $⁣ (

11 520Р

). Есть премиальный пакет: заплатив 148 $⁣ (

9472Р

) сверх регистрационной суммы, вы получите набор материалов для подготовки, пять дополнительных бланков результатов и скидку 33 $ на следующий экзамен.

Точную стоимость экзамена вы узнаете только в момент платежа: она привязана к курсу доллара или евро. Оплатить экзамены можно картой прямо на сайте либо банковским переводом по реквизитам.

Установка simplesamlphp

Для интеграции будем использовать SimpleSAMLphp. Если система, которую вы настраиваете написана не на PHP, то все равно можно использовать этот модуль, просто на вашем сайте будет функция аутентификации реализована на php, данные от ЕСИА вы получите в xml формате.

Последняя официальная версия SimplSAMLphp доступна на официальном сайте SimpleSamlPHP. Скачиваете архив, распаковываете модуль в папку /var.В целях безопасности для папки с разархивированным модулем необходимо настроить права доступа только для root пользователя. В конфигурации сервера необходимо добавить алиас и следующие правила:

Функциональная интеграция с есиа и получение данных авторизированных пользователей через есиа

Проверить подключения ИС к тестовой среде можно по ссылкеServerName/simplesaml/module.php/core/authenticate.php?as=esia.

При корректном выполнении всех предыдущих пунктов по ссылке откроется страница с тестовой средой ЕСИА. Для аутентификации в тестовой среде используются данные, полученные от ЕСИА в письме со статусом «Решен». После аутентификации произойдет переход на страницу SimpleSAML с таблицей с полученными данными от ЕСИА.

Теперь напишем скрипт, который будет обрабатывать данные. Для начала добавим кнопку для авторизации на сайт.

//в аттрибуте action указываем путь к файлу с будущим обработчиком данных
<form action="inc/esia.php" method="POST">
	<input name="esia" type="submit" value="Войти через Госуслуги"/>
</form>

Обработчик inc/esia.php. Тут мы получаем данные и можем записать их в базу, добавить в сессию и т.д. Вообще надо правильно парсить xml. Сейчас просто выведем данные на экран.

Заключение

Итак, ты получил представление о том, каким уязвимостям подвержены приложения с поддержкой SAML SSO. Ты узнал, каким образом настроить SSO с помощью SAML в приложении, какие инструменты использовать для тестирования безопасности SAML SSO.

Надеюсь, что теперь, если ты столкнешься с SAML SSO, будешь знать, куда копать. Успешного багхантинга!