SAML, die 2002 entstandene XML-basierte Sprache für Security Assertions, sollte offiziell ausrangiert werden, heißt es in einem aktuellen Beitrag von Matt Schwager auf dem Blog von Trail of Bits. Stattdessen empfiehlt die Quelle den Umstieg auf OpenID Connect (OIDC), weil SAML an der eigenen Komplexität zerbricht.
- SAML ist eine XML-basierte Markup-Sprache für Security Assertions und entstand 2002, wie die Quelle angibt.
- Die SSO-Industrie entstand in den späten 2000ern zusammen mit dem SaaS-Boom, weil IT-Abteilungen dieselben Accounts in vielen neuen Webdiensten anlegen wollten.
- XML Signature Wrapping (XSW), ein seit Langem bekannter Angriff, tritt laut der Meldung in der Praxis immer noch auf.
- Die meisten eingesetzten SAML-Implementierungen wrappen libxmlsec, eine C-Codebasis, die nach Thomas Ptacek, dessen Zitat der Beitrag aufgreift, niemand liest.
Die Überschrift der Quelle fand ich erst mal seltsam: ein Fraktal aus schlechtem Design. Aber je länger ich drüber nachdenke, desto mehr Sinn ergibt es. Die Fehler von SAML wiederholen sich in jeder Schicht: erst XML, dann die Normalisierung von XML, dann Signaturen, die das eigene Dokument umhüllen, dann das Protokoll als Ganzes. Eine schwache Eigenschaft zieht die nächste nach, und von außen sieht das Ganze aus wie ein Protokoll, das einfach funktioniert.
Konkret heißt das: SAML trägt nur, wenn man voraussetzt, dass die XML-Signaturprüfung verlässlich ist. Genau das ist das Verletzlichste daran. Thomas Ptacek nannte diese Prüfung 2023, und der Beitrag zitiert ihn direkt: Sie sei so kompliziert, dass die meisten eingesetzten SAML-Implementierungen einfach libxmlsec wrappen, eine C-Codebasis, die nach seinen Worten niemand liest. Wenn niemand die Basis wirklich liest, wundert es mich nicht, dass XML Signature Wrapping, ein seit Langem bekannter Angriff, trotzdem immer noch in der Praxis auftritt.
Das will ich aber nicht als reine SAML-Verurteilung rüberbringen: SAML hat die SSO-Welt groß gemacht, und für viele Firmen ist der Umstieg auf OIDC ein echtes Migrationsprojekt mit Ecken, über die die Quelle wenig sagt. Auch den tieferen Teil des Beitrags, wie die Designfehler fraktal in jeder Schicht auftauchen, konnte ich in der Kurzfassung nicht vollständig nachvollziehen. Die Richtung ist trotzdem klar: Am Ende des Beitrags führen alle Wege nach OIDC.
Und bei mir bleibt eine konkrete Frage: Wer in eurer Firma zahlt die letzte SAML-Brücke, wenn ab 2027 neue SaaS-Tools nur noch OpenID Connect mitbringen, das IAM-Team, das vorab migriert, oder der Support, der die alten XML-Tickets abarbeitet?