SAML : Security Assertion Markup Language
Sécurité
SAML : Security Assertion Markup Language. « Langage de balisage d'assertions de sécurité », par analogie avec un laissez-passer signé par la préfecture, que chaque guichet accepte sans rappeler la préfecture.
Fournisseur et consommateur : Un fournisseur d'identité authentifie l'utilisateur, puis émet une assertion signée, écrite en XML (eXtensible Markup Language), qui atteste de son identité et de ses attributs. Le fournisseur de service vérifie la signature et ouvre la session sans jamais voir le mot de passe.
Fédération d'entreprise : SAML sert surtout à l'authentification unique vers des applications métiers et des services en ligne. OIDC, plus léger et fondé sur JSON, lui dispute le terrain, mais SAML reste installé partout où l'annuaire d'entreprise fait la loi.
Le piège de la signature : Vérifier une signature XML sans vérifier qu'elle couvre bien l'élément lu par l'application ouvre la voie aux attaques par enveloppement de signature. Le XML partage avec le code des impôts cette propriété remarquable : tout ce qui n'est pas expressément interdit finit par être exploité.
Durée et audience : Une assertion porte une durée de validité et une audience ; le fournisseur de service doit contrôler les deux, sous peine d'accepter un jeton destiné à un autre ou rejoué plus tard.
Ce qui arrive si on s'en passe
Sans fédération d'identité, chaque application garde sa propre base de comptes et de mots de passe. Les utilisateurs recyclent alors le même secret partout, et une seule base compromise ouvre les autres. Le départ d'un collaborateur exige de fermer ses accès application par application, et l'oubli d'une seule laisse une porte ouverte pendant des mois. L'authentification forte se déploie service par service, souvent de façon inégale. La journalisation des connexions reste éparpillée, ce qui rend la détection d'un accès anormal lente et incomplète. À l'inverse, une fédération mal vérifiée côté application (signature, audience, validité) déplace le risque sans le supprimer.
Explication de la marmotte
Dans une entreprise, un employé utilise souvent des dizaines de logiciels différents. Plutôt que de retenir un mot de passe pour chacun, il se connecte une seule fois auprès d'un service central de confiance. Ce service lui remet ensuite, pour chaque logiciel, une sorte d'attestation signée qui dit : « cette personne est bien qui elle prétend être ». Le logiciel vérifie la signature et laisse entrer, sans jamais connaître le mot de passe. C'est comme un bracelet de festival : une fois contrôlé à l'entrée, il ouvre toutes les scènes.
Où ce terme est utilisé
- OIDC, SAML et OAuth 2.1 en fédération (10 occurrences)
- Services applicatifs, partage et protocoles hérités (5 occurrences)
- Gérer les accès externes des prestataires (4 occurrences)
- Principes de sécurité, identité et cryptographie utile au réseau (3 occurrences)
- Sécurité multi-cloud et hybrid cloud (2 occurrences)
- SSO, SCIM et journaux d'audit pour un assistant IA d'entreprise (2 occurrences)
- Le flux OAuth avec PKCE en une page (1 occurrence)