Vorrei segnalare il seguente paper frutto di una ricerca dell'Università di Genova,Universidad de Castilla-La Mancha, SAP e Siemens.
La ricerca mi è stata resa nota dal gentilissimo Luca Compagna al quale ho avuto il piacere di dare una mano nella divulgazione della stessa.
La vulnerabilità riscontrata nel servizio Single Sign On di Google Apps, basato sull'archtiettura OASIS SAML 2.0 ha un impatto notevole al di là del nome coinvolto (Google).
E' un esempio di come un architettura per l'autenticazione basata su uno standard de facto riconosciuto a livello internazionale possa presentare delle vulnerabilità a causa della sua (errata) implementazione.
(Copyright immagine: Clareity Consulting)
Single Sign on di Google basandosi su SAML permette una sola autenticazione per poter accedere a servizi diversi appartenenti a domini amministrativi diversi (quindi non solo all'interno di una singola organizzazione). I concetti base sono quelli di Kerberos,per intenderci, da cui SAML eredita alcune caratteristiche introducendone altre e adattandosi all'ambiente web mediante l'utilizzo di XML.
L'advisory è disponibile qui
