O que é SAML (Security Assertion Markup Language) e como ele funciona?

A autenticação do SAML é baseada no provedor de identidade (idP) e nas informações registradas na própria aplicação. O protocolo facilita a criação de uma Política de Identidade e Acessos mais integrada e eficiente.

Isso porque o SAML permite que os usuários acessem vários aplicativos, serviços ou sites a partir de um login único. Os níveis de identidade e autenticação são compartilhados entre diferentes sistemas por meio de um protocolo que solicita, recebe e formata esses dados.

Logo, o SAML cria um processo de verificação de identidade e das credenciais registradas para cada usuário, informando ao provedor de serviços qual acesso conceder a um usuário específico e autenticado. Neste artigo, falamos mais sobre o SAML. Veja a seguir:

O que é SAML?

SAML é um protocolo aberto utilizado para autenticação e autorização de acesso em ferramentas digitais. 

O padrão foi criado baseado no formato Extensible Markup Language (XML) e realiza a transferência de dados por meio do provedor de identidade (IdP) e das informações registradas no banco de dados do provedor de serviços. Um SaaS utilizado em âmbito corporativo, por exemplo.

O protocolo simplifica o processo de autenticação: antes, os usuários precisavam acessar vários aplicativos e domínios de forma independente. Embora um login único (SSO ou Single sign-on) fosse possível, era necessário a coleta de dados de terceiros (cookies do navegador) para que as informações fossem registradas — o que limitava a usabilidade do processo ao mesmo domínio.

Com o SAML, o processo se torna centralizando e a autenticação do usuário ocorre por meio de um provedor de identidade.

Assim, os usuários não precisam se lembrar de todos os nomes de usuário e senhas registrados para cada domínio ou app, pois a autorização ocorre de forma automatizada, o que aumenta a segurança das plataformas digitais, melhora a experiência dos usuários e otimiza a gestão de identidade e acesso realizada por empresas que precisam lidar diariamente com o controle de dados sensíveis.

Componentes SAML

O SAML incorpora quatro tipos de componentes:

1. Declarações SAML: são informações de identidade, autenticação e autorização formatadas por meio de tags XML.
2. Protocolos SAML: definem como as diferentes entidades solicitam e respondem às solicitações de informações de segurança. Também são codificados com tags XML e especificados em SAML.
3. Ligações SAML: são os formatos específicos para a criação e interpretação de mensagens transmitidas por meio do protocolo SAML. Essas ligações padronizam a linguagem para que as informações sejam incorporadas e transportadas por diferentes mecanismos.
4. Perfis SAML: determinam como os demais elementos são usados para garantir a interoperabilidade das aplicações.

Limitações do SAML

Apesar de ter várias vantagens, o SAML tem algumas limitações que você precisa estar atento:

• o SAML em FTD tem suporte apenas a partir da versão 6.7 para a Autenticação e da versão 7.0 para autorização;
• não há suporte atributos de autenticação SAML disponíveis na avaliação DAP (semelhantes aos atributos RADIUS enviados na resposta de autenticação RADIUS do servidor AAA);
• ASA oferece suporte habilitado para SAML na política de DAP. No entanto, não é possível verificar o atributo nome de usuário ao usar a autenticação SAML, pois ele fica mascarado pelo provedor de identidade SAML;
• navegadores com AnyConnect usam uma nova sessão em cada tentativa de VPN, ou seja, os usuários precisam refazer a autenticação sempre que o IdP usa cookies de sessão HTTP para controlar o estado de login.

Como esse protocolo funciona? 

As transações SAML usam Extensible Markup Language para comunicações padronizadas entre o provedor de identidade e os provedores de serviços.

SAML é o link entre a autenticação da identidade de um usuário e a autorização para uso e acesso a informações.

Logo, o SAML implementa um método seguro de autenticação. Por exemplo, quando um usuário faz o login em uma aplicação habilitada para SAML, o provedor de serviços solicita a autorização ao provedor de identidade e autentica as credenciais de acesso para que, em seguida, o mesmo seja autorizado.

Suponha que o governo federal seja o provedor de identidade, você é um viajante e a companhia aérea o provedor de serviços.

Nesse exemplo, o passaporte é a declaração SAML: uma autorização emitida pelo governo para garantir a autenticidade dos dados de viajantes que utilizam companhias aéreas para viajar.

A solicitação de passaporte ao governo exige o preenchimento de um formulário, a inclusão de fotos e de impressões digitais no documento.

O governo, que nesse caso faz o papel de provedor de identidade (idP) , armazena cada atributo de identificação em seu banco de dados e emite uma identificação física associada à identidade devidamente comprovada.

Ao chegar no portão de embarque da companhia aérea, que faz o papel de provedor de serviços, você precisa apresentar o documento (nesse exemplo, o passaporte é como o SAML).

A empresa, por sua vez, verifica o passaporte, atesta que as informações são verdadeiras e autoriza o seu acesso à aeronave, exatamente o que ocorre quando o provedor de identidade atesta as informações de acesso do SAML e permite que o usuário visualize e modifique as informações armazenadas na plataforma SaaS.

Por isso, dizemos que o Security Assertion Markup Language (SAML) é um padrão aberto que permite que provedores de identidade (IdP) passem credenciais de autorização para provedores de serviços (SP) para que os usuários tenham um único login de acesso a e-mails, softwares como ERPs (Enterprise Resource Planning) e CRMs (Customer Relationship Management) ou diretórios de armazenamento de arquivos.

Separamos aqui alguns artigos que podem te interessar:

• Entenda o que é XML e quais as utilidades dessa linguagem de marcação
• Sistema de gestão de conteúdos (CMS): por que implementar na sua empresa?
• O que é ERP e para que serve?

Quais as vantagens do Security Assertion Markup Language para as empresas?

Gerenciamento de identidade e acesso ou Identity and Access Management (IAM) é um conjunto de processos, políticas e ferramentas utilizadas para administrar os privilégios de acesso dos ativos que integram uma infraestrutura de TI, seja a rede, sejam os dispositivos e aplicativos utilizados em nuvem ou de forma legada.

O objetivo dessa política de gestão é controlar com segurança o acesso aos recursos e informações corporativos — a autenticação e as permissões dos usuários que aumentam a confiabilidade ao interagir com os sistemas e dados — e o SAML é o recurso que ajuda a tornar esse processo de controle mais amigável e integrado.

Por isso, o SAML é uma solução amplamente adotada em âmbito corporativo, primeiramente porque melhora a experiência do usuário, já que demanda um login único para acesso a vários aplicativos, tanto legados quanto web-based — além de simplificar e agilizar o processo de autenticação, o que também significa produtividade para as equipes, o usuário garante outras vantagens.

A primeira delas é não precisar se lembrar de um conjunto de credenciais. Depois, de não precisar usar a mesma senha para o acesso de todos os aplicativos e programas, o que ainda é um risco para o gerenciamento de dados sensíveis.

Agora, imagine se todos os colaboradores de uma empresa têm o hábito de anotar as senhas em um local desprotegido de forma a deixá-las vulneráveis ao ponto de comprometer a segurança das ferramentas utilizadas pela empresa e, principalmente, dos dados dos processos?

Já que o provedor de identidade armazena todas as informações de login, o provedor de serviços não precisa armazenar nenhuma credencial de usuário em seu sistema garantindo mais segurança e adequação à gestão de identidades e acesso.

Assim, a empresa não precisa investir tempo e recursos na implementação de camadas extras de segurança em sua infraestrutura de TI.

Além de prover uma melhor experiência para os usuários e uma maior segurança para os ativos e dados corporativos, o SAML também beneficia o fluxo de trabalho da empresa, pois significa menos chamadas para o Help Desk em razão de esquecimentos de credenciais que demandam as constantes redefinições de senhas.

Como usar a autenticação SAML? 

Muitas plataformas oferecem a tecnologia de autenticação SAML como recurso de produtividade e segurança. O OneLogin, por exemplo, oferece vários kits de ferramentas SAML que os desenvolvedores podem usar para habilitar o SSO de seus aplicativos.

O SAML Toolkit oferece ferramentas online para que você obtenha um certificado X.509, que pode ser usado em um ambiente de teste.

Além disso, como o SAML usa o algoritmo de codificação Base64, os recursos do kit de ferramentas OneLogin oferecem um serviço online em que é possível codificar e decodificar o XML para Base64, criptografar nós de XML, assinar AuthNRequests e validar o XML em função do SAML XSD.

Além do suporte a certificados e serviços de codificação, decodificação, assinatura e validação XML, a ferramenta permite que o usuário crie metadados XML de um provedor de identidade SAML e fornece uma ferramenta que extrai o NameID e outros atributos relevantes de qualquer resposta SAML.

Agora que você sabe o que é SAML e a importância dessa ferramenta para a segurança e a produtividade em sistemas corporativos, que tal conhecer uma ferramenta incrível para colaboração e compartilhamento de dados?