注目★★★★★Hacker News
SAMLはなぜ限界か、OIDC移行を迫る設計の負債
30秒で把握
- 1著者がSAMLをXML署名と複雑性の負債として批判
- 22002年の統合設計と2025年の認証バイパス研究を整理
- 3新規SAML対応を止めOIDC移行と廃止計画を提案
要約
著者は、SAMLをXMLの複雑さと設計上の負債が脆弱性を生み続ける認証プロトコルだと批判し、OIDCへの移行を論じた。SAMLは2002年に4つのXML系セキュリティプロトコルを統合して作られ、現在の実装は仕様の大部分を使わない。XML署名の正規化や署名ラッピング、パーサー差分が認証バイパスを繰り返し引き起こし、2025年にも複数の攻撃研究が発表された。SAMLはモバイル、SPA、IoTや現代のHTTPS前提に適応できず、サービス提供者には新規SAML対応の停止、認証事業者にはOIDC設定への移行と廃止計画を求めている。
あなたへの影響
SAMLを利用する日本のサービス提供者・認証基盤チームは、既存連携の棚卸しとOIDC移行計画を次スプリントで検証すべき。SAMLの複雑さと脆弱性の蓄積は、認証障害や移行コストにつながり得るため、対応可能な連携から段階移行を進めるべき。
推奨：XML署名ラッピングは署名対象の解釈差を悪用する攻撃で、実装とライブラリの更新状況を確認する必要がある。