SAML-Dekodierer

Das Tool unterstützt Base64-kodierte SAML-Antworten und Assertion-XML, die häufig in SAML-Redirects und POST-Bindings vorkommen. Es erkennt und dekomprimiert automatisch deflat-komprimierte SAML-Anfragen.

Ja. Die gesamte Verarbeitung erfolgt vollständig in Ihrem Browser. Ihre SAML-Token werden niemals an einen Server gesendet. Keine Daten verlassen Ihr Gerät.

SAML-Anfragen, die über HTTP-Redirect gesendet werden, sind oft vor der Base64-Kodierung deflat-komprimiert, um die URL-Länge zu reduzieren. Dieses Tool erkennt und dekomprimiert solche Daten automatisch.

Eine Anfrage ist eine samlp:AuthnRequest, die der Service Provider sendet, um den Identity Provider zu bitten, einen Benutzer zu authentifizieren; eine Antwort ist die zurückkommende samlp:Response, die die saml:Assertion mit der Authentifizierungsanweisung und den Attributen trägt. Beide werden URL-kodiert übertragen (Redirect binding) oder innerhalb eines HTML-Formular-POSTs (POST binding). Dieses Tool dekodiert beide Richtungen.

Ein opaker String, den der SP der Anfrage beifügt und den der IdP unverändert mit der Antwort zurückgeben muss - typischerweise die URL, zu der nach dem Login weitergeleitet wird. Die SAML-Bindings-Spezifikation empfiehlt, ihn unter 80 Bytes zu halten, und für den IdP hat er keine Bedeutung. Wenn SSO auf der falschen Seite landet, ist ein verlorener oder beschädigter RelayState ein Hauptverdächtiger.

Im HTTP-Redirect-Binding wird das XML raw-Deflate-komprimiert, dann Base64-kodiert, dann URL-kodiert - die drei Schritte, die die Spezifikation vorschreibt. Geben Sie diesem Tool den URL-kodierten Wert: Wenn er sich zu einem Markup entfaltet, das mit < beginnt, war er komprimiert; wenn er bereits mit <?xml oder <saml beginnt, war er es nicht. POST-Binding-Nachrichten sind Base64 ohne Deflate.

Clock Skew - die Signaturvalidierung schlägt fehl, wenn die Uhren von SP und IdP um mehr als die erlaubte Toleranz abweichen; Audience Mismatch - die audienceRestriction in der Assertion enthält nicht die Entity ID des SP; und abgelaufene Antworten (NotOnOrAfter). Ebenfalls häufig: ein fehlender RelayState und unsignierte Assertions, wenn der SP diese verlangt. Die dekodierten Felder, die dieses Tool anzeigt, ermöglichen es Ihnen, jede dieser Ursachen direkt zu prüfen.

Ja - Dekodieren ist nicht dasselbe wie Verifizieren. Das XML der Assertion ist für jeden lesbar; die darin enthaltene Signatur stellt die Integrität sicher, nicht die Vertraulichkeit. Was Sie ohne das öffentliche Zertifikat des IdP nicht tun können, ist nachweisen, dass die Assertion authentisch und unverändert ist. Gehen Sie mit dekodierten Inhalten sorgfältig um: Assertions enthalten oft E-Mail-Adressen, Gruppen und Berechtigungen.