المدوّنة · 26 سبتمبر 2023 · Steve Simpson · الهوية

نظرة معمّقة في مصادقة SAML

فهم SAML في الدخول الموحّد مع Salesforce

في مجال المصادقة، تؤدي SAML ‏(Security Assertion Markup Language) دورًا أساسيًا في ضمان وصول سلس عبر التطبيقات. لنتعمق في SAML، ونفهم أهميتها في الدخول الموحّد (Single Sign-On، SSO)، ونستكشف تطبيقها مع Salesforce.

تحديد السياق

تخيّل سيناريو لديك فيه مؤسستان (Orgs) في Salesforce: موفّر هوية (IDP) وموفّر خدمة (service provider). لدى موفّر الخدمة البيانات التي تريد الوصول إليها، لكنك بدلًا من استخدام بيانات اعتماد متعددة تريد تحقيق ذلك بمجموعة واحدة من بيانات تسجيل الدخول. الفكرة تبدو بسيطة، لكن الآليات خلف الكواليس قد تكون معقّدة.

مخطط: الدخول الموحّد من مؤسسة Salesforce إلى أخرى. يُرسَل المتصفح إلى مؤسسة موفّر الهوية مع طلب SAML، ويعود إلى مؤسسة موفّر الخدمة مع تأكيد SAML؛ تحتفظ كل مؤسسة بشهادة الأخرى، ويُطابَق المستخدمون عبر Federation ID

المصطلحات الأساسية في عالم SAML

وصول المستخدم: عندما يحاول المستخدم الوصول إلى مورد محمي لدى موفّر الخدمة قبل المصادقة.

إعادة التوجيه: إذا لم يكن المستخدم مُصادَقًا عليه، يعيد موفّر الخدمة توجيهه إلى موفّر الهوية باستخدام طلب SAML. وعند الحاجة، قد تُرسل معه حالة الترحيل (relay state)، أي عنوان URL الذي أراد المستخدم زيارته أولًا.

مصادقة موفّر الهوية: يتحقق موفّر الهوية من هوية المستخدم، عادةً عبر اسم المستخدم وكلمة المرور أو المصادقة متعددة العوامل.

تأكيد SAML: بعد المصادقة، يرسل موفّر الهوية تأكيد SAML إلى موفّر الخدمة.

ثقة موفّر الخدمة: يتحقق موفّر الخدمة من صحة تأكيد SAML، ويستخرج معلومات المستخدم، ويمنح الوصول. وإذا كانت حالة الترحيل قد أُرسلت سابقًا، ينتقل موفّر الخدمة إلى ذلك العنوان تحديدًا.

ملخص SAML: سير العمل الأساسي (وصول المستخدم، إعادة التوجيه، المصادقة، التأكيد، إعادة التوجيه للعودة، منح الوصول)، والمزايا، والمصطلحات الأساسية

فوائد الدخول الموحّد

وصول مبسّط: يحتاج المستخدمون إلى مجموعة واحدة فقط من بيانات الاعتماد للوصول إلى خدمات متعددة.

الأمان: تستخدم SAML التواقيع الرقمية لضمان سلامة البيانات ومنع التلاعب بها.

قابلية التشغيل البيني: لأن SAML بروتوكول معياري، يمكنها التواصل مع موفّري هوية وموفّري خدمات متنوعين عبر تقنيات مختلفة.

التعمق أكثر: فحص تدفقات SAML

طلب SAML: يبدأه موفّر الخدمة نحو موفّر الهوية، طالبًا منه مصادقة مستخدم.

مثال على طلب SAML ‏(AuthnRequest) من مؤسسة موفّر الخدمة إلى مؤسسة موفّر الهوية

استجابة SAML: رسالة من موفّر الهوية بعد المصادقة، تتضمن تفاصيل عن المستخدم.

مثال على استجابة SAML من موفّر الهوية، مع الجهة المُصدِرة والتوقيع الرقمي

التأكيدات (Assertions): عبارات من موفّر الهوية عن المستخدم، تشمل سمات مثل اسم المستخدم أو البريد الإلكتروني.

التواقيع الرقمية: تُستخدم للتحقق من التأكيدات، وضمان أنها لم تُعدَّل بطريقة غير مشروعة.

حالة الترحيل (Relay State): عنوان URL لرابط عميق يضمن إعادة توجيه المستخدم بعد المصادقة إلى الوجهة التي قصدها في البداية.

عندما يبدأ المستخدم الوصول، يُرسَل طلب SAML إلى موفّر الهوية، الذي يعيد بعد التحقق تأكيد SAML. وعندما يتحقق موفّر الخدمة من صحة هذا التأكيد، يمنح المستخدم الوصول المقصود.

مخطط تسلسلي: تسجيل دخول SAML يبدأه موفّر الخدمة. يطلب المستخدم صفحة، فيُعاد توجيهه إلى موفّر الهوية لتسجيل الدخول، ويعود بتأكيد SAML، فيتحقق موفّر الخدمة منه وينشئ جلسة

باستخدام أدوات مثل SAML Tracer للمتصفحات، يمكنك أن ترى هذا التدفق بعينك. وهذا يتيح رؤية شفافة لعملية المصادقة، من الطلب الأول إلى إعادة التوجيه الأخيرة بعد المصادقة.

إجراءات الأمان في تأكيدات SAML

لمواجهة التهديدات الأمنية المحتملة:

الطوابع الزمنية تُستخدم لمنع هجمات إعادة الإرسال (replay attacks)، بحيث يكون تأكيد SAML صالحًا لفترة قصيرة فقط.

التواقيع الرقمية تضمن أن البيانات لم يُعبث بها أثناء التبادل.

إضافةً إلى ذلك، قد تحتوي التأكيدات على سمات المستخدم، مثل عناوين البريد الإلكتروني أو أنواع المستخدمين، مما يتيح ضوابط وصول أكثر تفصيلًا لدى موفّر الخدمة.

الخلاصة

SAML في جوهرها بروتوكول قائم على XML يحتوي على عناصر أساسية للمصادقة. وقد تبدو كالسحر، لكنها نتيجة تقنية مدروسة بعناية، صُممت لإحباط هجمات مثل «الرجل في المنتصف» (man-in-the-middle) أو سيناريوهات إعادة الإرسال.

وقدرتها على ربط موفّري خدمات متعددين بتقنيات مختلفة لدى موفّري الهوية تجعلها حجر زاوية في عالم المصادقة الرقمية.