SAML

Security assertion markup language

Security assertion markup language (SAML) est un standard informatique définissant un protocole pour échanger des informations liées à la sécurité. Basé sur le langage XML, SAML a été développé par OASIS.

Le problème le plus important que SAML tente de résoudre est celui de l'authentification unique (en anglais single sign-on ou SSO) sur le web. Il s'agit de permettre à un utilisateur de naviguer sur plusieurs sites différents en s'authentifiant une seule fois, sans pour autant que ces sites aient accès à des informations trop confidentielles.

Les solutions de SSO au niveau d'un intranet abondent (en utilisant des cookies, par exemple) mais prolonger ces solutions au-delà d'un intranet est problématique et a entraîné la prolifération de technologies de propriété industrielle qui ne sont pas aptes à interopérer.

SAML est un standard supporté par un grand nombre de solutions de SSO pour les problèmes de gestion d'identité. Microsoft propose une solution concurrente avec WS-Federation.

SAML suppose que le principal (souvent un utilisateur) s'est inscrit avec au moins un fournisseur d'identité. Ce fournisseur d'identité est censé fournir des services d'authentification locaux au principal. Cependant, SAML n'indique pas l'implémentation de ces services locaux ; en effet, pour SAML peu importe comment les services locaux d'authentification sont mis en application (bien que les fournisseurs de service s'en soucient certainement).

Historique de SAML

SAML 1.0

SAML 1.0 a été adopté comme norme par OASIS en novembre 2002. SAML a subi une révision mineure et une majeure depuis V1.0, bien qu'étant un protocole relativement simple. SAML 1.0 est d'intérêt plus qu'historique, puisque l'initiative E-Authentication Initiative des É.-U. a adopté SAML 1.0 en tant que technologie de noyau.

Les versions 1.0 et 1.1 de SAML sont semblables. Voir [SAMLDiff] pour des différences spécifiques entre les deux normes.

SAML 1.1

SAML 1.1 a été ratifié comme norme d'OASIS en septembre 2003. Les aspects critiques de SAML 1.1 sont couverts en détails dans les documents officiels [SAMLConform], [SAMLCore] et [SAMLBind]. Les novices de SAML devraient probablement commencer par [SAMLOverview].

SAML 2.0

SAML 2.0 a été approuvé en mars 2005. Il s'agit d'une version majeure, construite par l'unification de SAML 1, de la norme ID-FF (Identity federation framework) proposée par la Liberty Alliance et du projet universitaire Shibboleth.

Voir aussi

• Liberty Alliance
• Lightweight Third Party Authentication
• Authentification forte
• RSA Security
• WS-Security
• Shibboleth

Références

• (en) [SAMLBind] E. Maler et al., Bindings and Profiles for the OASIS Security Assertion Markup Language (SAML) V1.1. OASIS, September 2003. Document ID oasis-sstc-saml-bindings-profiles-1.1 http://www.oasis-open.org/committees/security/

• (en) [SAMLConform] E. Maler et al., Conformance Program Specification for the OASIS Security Assertion Markup Language (SAML) V1.1. OASIS, September 2003. Document ID oasis-sstc-saml-conform-1.1 http://www.oasis-open.org/committees/security/

• (en) [SAMLCore] E. Maler et al., Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML). OASIS, September 2003. Document ID oasis-sstc-saml-core-1.1 http://www.oasis-open.org/committees/security/

• (en) [SAMLDiff] P. Mishra et al., Differences between OASIS Security Assertion Markup Language (SAML) V1.1 and V1.0. OASIS, May 2003. Document ID sstc-saml-diff-1.1-draft-01 http://www.oasis-open.org/committees/security/

• (en) [SAMLOverview] J. Hughes et al., Technical Overview of the OASIS Security Assertion Markup Language (SAML) V1.1. OASIS, May 2004. Document ID sstc-saml-tech-overview-1.1-cd http://www.oasis-open.org/committees/security/

Ce document provient de « Security assertion markup language ».