Decodificador de SAML

A ferramenta suporta Resposta SAML e Asserção XML codificadas em Base64, comumente encontradas em redirecionamentos SAML e vinculações POST. Também detecta e descomprime automaticamente requisições SAML comprimidas com deflate.

Sim. Todo o processamento acontece inteiramente no seu navegador. Seus tokens SAML nunca são enviados a nenhum servidor. Nenhum dado sai do seu dispositivo.

Requisições SAML enviadas via redirecionamento HTTP são frequentemente comprimidas com deflate antes da codificação Base64 para reduzir o tamanho da URL. Esta ferramenta detecta e descomprime automaticamente esses dados.

Um pedido é um samlp:AuthnRequest que o fornecedor de serviço envia para pedir ao fornecedor de identidade que autentique um utilizador; uma resposta é o samlp:Response que regressa, transportando a saml:Assertion com a declaração de autenticação e os atributos. Ambos viajam codificados em URL (Redirect binding) ou dentro de um formulário HTML POST (POST binding). Esta ferramenta decodifica em qualquer direção.

Uma cadeia opaca que o SP anexa ao pedido e que o IdP deve devolver inalterada com a resposta - tipicamente o URL para o qual redirecionar após o início de sessão. A especificação de bindings SAML recomenda mantê-la abaixo de 80 bytes, e esta não tem qualquer significado para o IdP. Quando o SSO acaba na página errada, um RelayState perdido ou corrompido é um dos principais suspeitos.

No binding HTTP-Redirect, o XML é comprimido com raw-Deflate, depois codificado em Base64 e por fim em URL - os três passos que a especificação manda. Dê a esta ferramenta o valor codificado em URL: se se expandir em markup que começa por <, estava comprimido; se já começa por <?xml ou <saml, não estava. As mensagens de binding POST são Base64 sem Deflate.

Desfasagem de relógios - a validação da assinatura falha quando os relógios do SP e do IdP diferem mais do que a deriva permitida; discordância de audiência - a audienceRestriction na asserção não contém o entity ID do SP; e respostas expiradas (NotOnOrAfter). Também frequentes: um RelayState em falta e asserções não assinadas quando o SP as exige. Os campos decodificados que esta ferramenta apresenta permitem-lhe verificar diretamente cada uma destas causas.

Sim - decodificar não é verificar. O XML da asserção é legível por qualquer pessoa; a assinatura no interior cobre a integridade, não a confidencialidade. O que não pode fazer sem o certificado público do IdP é provar que a asserção é autêntica e não foi modificada. Trate qualquer conteúdo decodificado com cuidado: as asserções costumam conter endereços de e-mail, grupos e direitos de acesso.