Decodificador de SAML

A ferramenta suporta Resposta SAML e Asserção XML codificadas em Base64, comumente encontradas em redirecionamentos SAML e vinculações POST. Também detecta e descomprime automaticamente requisições SAML comprimidas com deflate.

Sim. Todo o processamento acontece inteiramente no seu navegador. Seus tokens SAML nunca são enviados a nenhum servidor. Nenhum dado sai do seu dispositivo.

Requisições SAML enviadas via redirecionamento HTTP são frequentemente comprimidas com deflate antes da codificação Base64 para reduzir o tamanho da URL. Esta ferramenta detecta e descomprime automaticamente esses dados.

Uma requisição é um samlp:AuthnRequest que o provedor de serviço envia para pedir ao provedor de identidade que autentique um usuário; uma resposta é o samlp:Response que volta, carregando a saml:Assertion com a declaração de autenticação e os atributos. Ambas trafegam com codificação de URL (binding Redirect) ou dentro de um POST de formulário HTML (binding POST). Esta ferramenta decodifica qualquer uma das direções.

Uma string opaca que o SP anexa à requisição e que o IdP deve retornar inalterada junto com a resposta - normalmente a URL para redirecionar após o login. A especificação de bindings do SAML recomenda mantê-lo abaixo de 80 bytes, e ele não tem significado algum para o IdP. Quando o SSO cai na página errada, um RelayState perdido ou corrompido é um dos principais suspeitos.

No binding HTTP-Redirect, o XML é compactado com raw-Deflate, depois Base64 e depois codificado na URL - os três passos que a especificação determina. Forneça a esta ferramenta o valor codificado na URL: se ele expandir para uma marcação que começa com <, estava compactado; se já começa com <?xml ou <saml, não estava. Mensagens do binding POST são Base64 sem Deflate.

Compare NotBefore, NotOnOrAfter e Audience com a configuração do fornecedor de serviços. A diferença entre relógios afeta o período de validade da asserção, não a assinatura criptográfica em si. Este descodificador apresenta campos; não verifica assinaturas nem decide se o fornecedor deve aceitar a asserção.

Sim - decodificar não é verificar. O XML da assertion pode ser lido por qualquer pessoa; a assinatura dentro dela cobre integridade, não confidencialidade. O que você não consegue fazer sem o certificado público do IdP é provar que a assertion é autêntica e não foi modificada. Trate qualquer conteúdo decodificado com cuidado: assertions frequentemente contêm endereços de e-mail, grupos e permissões.