What is SAML ?

La norme SAML (Security Assertion Markup Language) définit un cadre d'échange d'informations de sécurité entre partenaires commerciaux en ligne.

Il a été développé par le  Security Services Technical Committee (SSTC) et, sur la base de ces contributions initiales, en novembre 2002, OASIS (Organization for the Advancement of Structured Information Standards) a annoncé la spécification du langage SAML (Security Assertion Markup Language) V1.0 en tant que Norme OASIS.

Pourquoi SAML est-il nécessaire pour échanger des informations de sécurité?

L’adoption de la norme SAML est motivée par plusieurs facteurs, notamment:

• Authentification unique:
  Au fil des ans, divers produits ont été commercialisés avec la prétention de fournir un support pour l’authentification unique sur le Web.
  Ces produits s’appuient généralement sur les cookies du navigateur pour conserver les informations sur l’état d’authentification des utilisateurs.
  Cependant, comme les cookies de navigateur ne sont jamais transmis entre les domaines DNS,
  les informations sur l’état d’authentification dans les cookies d’un domaine ne sont jamais disponibles pour un autre domaine.
  SAML résout le problème de l’authentification unique multi-domaine en fournissant une grammaire et un protocole standard indépendants du fournisseur pour transférer des informations sur un utilisateur d’un serveur Web à un autre, indépendamment des domaines DNS du serveur.

• Identité fédérée:
  Lorsque les services en ligne souhaitent établir un environnement d’application collaboratif pour leurs utilisateurs communs, non seulement les systèmes doivent être capables de comprendre la syntaxe et la sémantique du protocole impliquées dans l’échange d’informations; ils doivent également avoir une compréhension commune de l’identité de l’utilisateur auquel il est fait référence dans l’échange.
  Les utilisateurs ont souvent des identités d’utilisateur locales individuelles dans les domaines de sécurité de chaque partenaire avec lequel ils interagissent.
  La fédération d’identité permet à ces services partenaires de convenir et d’établir un identifiant de nom commun et partagé.
• Services Web et autres normes du secteur:
  SAML permet d’utiliser son format d’assertion de sécurité en dehors d’un contexte de protocole SAML «natif».
  Cette modularité s’est avérée utile pour d’autres efforts de l’industrie concernant les services d’autorisation, les cadres d’identité, les services Web, etc.
  Le comité technique OASIS WS-Security a défini un profil d’utilisation des constructions d’assertion riches de SAML dans un jeton de sécurité WS-Security qui peut être utilisé, par exemple, pour sécuriser les échanges de messages SOAP du service Web.

United Networks et le SAML

En partenariat avec l’équipe Toyota Europe , nous avons finalisé au cours du mois de février 2020 la mise à jour du système d’authentification Single Sign-On pour le portail de vente de pneus du groupe Wyz pour Toyota Suède.
Nous utilisions déjà la technologie SAML sur Toyota, mais les échanges sont désormais mis à niveau avec le nouveau serveur d’authentification (CA SSO SiteMinder) vers une nouvelle version plus sécurisée! Les utilisateurs du TyrePortal de Toyota Suède, comme cela a été fait précédemment pour Toyota France, sont connectés avec la toute dernière version de SAML 2.0 avec les normes OASIS et les signatures intégrées.

Notez que Toyota n’était pas la première plate-forme sur laquelle nous avons implémenté SAML parmi les plates-formes de vente de pneus, mais c’était l’installation la plus avancée!

Sources

http://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0-cd-02.html#1.Introduction|outline
https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language