确认特斯拉工厂遭受网络攻击
|
一旦你的IDP接收到身份验证请求，IDP将验证你是否已登录(可能是密码、可能是客户端证书)，然后签署一个断言。断言是SP将验证并用于登录你的内容。然后，你的IDP将此断言发送回SP。SP验证密码签名，验证该断言是否应该发送到特定的SP，并提取相关的用户名和其他字段。现在，你可以看所有你想看的图片了! 那个签名秘钥听起来很吓人!你的本能可能是不惜一切代价保护该密钥。密钥值得保护，但是对你的SAML IDP安全最大的可信威胁不是拥有你的SAML服务器的攻击者。 攻击SAML的方法 攻击SAML的方法有很多!尽管独特的签名密钥可以解决其中的一些问题，但这并不是万能的。 受众限制问题(Audience restriction issue) 这是我在这篇文章中关注的问题，稍后我将更详细地讨论它。不出意料，惟一签名密钥解决了这类问题。
XML处理问题 XML安全性是本世纪初出现的一种内联签名格式，当时没有人提出要求，需要它的人也更少。但用的人多了，问题就出现了，这些问题包括，忽略用户名中的XML注释、签名格式本身忽略对XML解析器有影响的注释，以及不检查你验证的签名是否实际覆盖了你信任的所有数据。
你可以通过使用惟一的签名密钥来减小这些问题的影响范围。你只需要关心单个应用程序的内部权限，而不是允许用户登录任何与你集成的服务(授权与否)。 这个问题并不是SAML独有的，签名的JWT和其他SSO的使用(比如OIDC中的使用)也可能遇到类似的问题，即缺少令牌验证。 SAML是如何工作的?
从较高的层次上讲，SAML是一种登录用户的方式，它使用两个系统之间的浏览器内部通信，否则它们之间不能相互通信。当用户想要登录到他们最喜欢的SaaS时，SaaS应用程序(SP或服务提供商)会将一些关于登录请求的数据发送到你的IDP。这包括诸如惟一请求ID和数据(如你试图访问的原始页面)之类的内容。理论上，身份验证请求可以指定IDP应该返回哪种类型的用户名和名称之类的字段，但实际上这会被忽略。这些请求也可以签名，但实际上在SP旋转其密钥时，大多数情况都会使事情中断。安全性几乎没有好处，因为在任何现代系统中，SAML交换都是通过TLS进行的。 因此，许多行业开始采用大数据技术进行更明智的决策。但是，最近的一项调查发现，法律行业是采用大数据最缓慢的行业之一。美国乔治敦大学法学院法律职业研究中心和汤森路透同行观察项目最近发布调查报告得出的结论是，美国许多律师事务所仍在采用原来的方式。该报告的主要作者、该中心的高级研究员James W.Jones斯说：“采取积极措施应对这些需要进行市场调整的机构，完全有可能做得很好。与此同时，传统的战略和模式越来越不可能在未来市场上取得成功。” 麦肯锡全球研究院最近发布的一份报告表明，以数据为导向的组织采用大数据吸引客户的可能性是原来的23倍，维持业务的可能性是原来的6倍，增加利润的可能性是原来的19倍。 值得注意的是，大多数律师事务所认为，以数据为依据的对法律问题的理解很重要，但是大多数律师事务所并没有采取行动或分配资源来跟进这个理念。直到现在，法律方面的文化、教育和培训都属于成长期，通常的法律观念将世界划分为“律师和非律师”。 作为产生数据量最多的行业之一，法律行业直到最近才意识到大数据对快速和知情决策的重要性。法律领域通常是以劳动力为导向的任务，法律助理和研究人员争先恐后地挖掘、索引和处理信息，其产生的费用最终都会落在客户身上。此外，在人手不足的律师事务所，过度工作的调查人员只能粗略地关注个别客户。然而，只需花费一小部分的时间和成本，人工智能(AI)就可以代替进行繁琐的研究，减轻法院和律师事务所的负担，并加快司法程序。总有一天，人工智能可能会取得更好的结果，因为客户将会更开放地与一台非评判性的机器交谈。 然后，在今年年初发生的冠状病毒疫情颠覆了人们的工作和生活方式。但即使是由于居家隔离、疾病和死亡导致企业因产品和服务需求减少而遭受损失，企业也可以提交由于疫情导致业务中断的保险索赔。 与此同时，疫情也改变了人们看待远程工作的方式。在疫情发生之前，企业雇主并不热衷于开展远程工作，因为他们认为员工并不是真正地开展工作。但是，发生的疫情证明这一假设是错误的。雇主发现，除非工作本身需要在现场完成，否则员工在家工作和在办公室工作一样出色。 这种情况也发生在法律行业。突然之间，律师事务所正在采用他们从未考虑采用的工作策略，转向虚拟劳动力和远程学习。因此，传统的法律文化被迫重塑，以满足非律师客户的需求。特别是，很多企业内部的法律部门开始处理约75%的法律工作。 这导致了法律行业的重新调整，精通技术的法律服务提供商也提供法律服务，但不参与法律实践，占据了2%的市场份额，并且未来的参与度有望大幅提高。 因此，企业内部法律部门加强与法律服务提供商之间的合作，导致传统法律文化逐渐演变为2020年及以后的疫情时代所要求的文化。律师事务所正以其核心职能逐渐吸收企业文化，律师的核心职能是执业法律，并与法律服务合并，其中包括利用技术和了解客户的业务。
这是一种专注于客户期望的新的法律文化，而不是由法律协会培育和塑造的。 （编辑：平顶山站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
