Fédération d'Identités (SAML / OIDC / OAuth)
ACTION REQUISE（À lire et exécuter immédiatement）
MAINTENANT: Lire le precedent-pentest ; Inclure les comptes de test SSO et le périmètre IdP/SP dans le scopeMAINTENANT: Interdire les tentatives de force brute qui verrouillent les comptes utilisateurs réelsPROCHAIN: Outils de capture et documentation (URL des métadonnées)ACTION: Cartographie des flux protocolaires → Erreurs courantes → Vérification
Cas d'usage
- Altération de la signature/réponse SAML (schéma de défaut classique)
- OIDC implicite / code d'autorisation + absence de PKCE
- Problèmes de
redirect_uri/state/nonce - Confusion d'issuer entre métadonnées IdP et SP, multi-tenant
- Complémentaire aux attaques JWT de
api-security(cette compétence se concentre sur les flux fédérés et SSO)
Workflow
□ Dessiner : Utilisateur → SP → IdP → Jeton → SP
□ Collecter : /.well-known/openid-configuration, métadonnées SAML
□ Vérifier : Correspondance exacte de `redirect_uri`, liaison de `state`, PKCE
□ Vérifier : Couverture de signature SAML, descente de niveau d'algorithme
□ Fixation de session et échec de déconnexion
Chaîne d'outils
| Outil | Usage |
|---|---|
| Burp + SAML Raider etc. | Édition des assertions (autorisation) |
| jwt_tool | Segments JWT |
| DevTools du navigateur | Chaîne de redirection |
| Journaux d'administration IdP | Audit |
Références
references/sso-flow-checklist.md../api-security/../windows-ad/(IdP d'entreprise)
Contexte de routage
Amont: MASTER R37
Aval: API JWT pur → api-security ; IdP cloud → cloud-k8s
Auto-vérification des tâches accomplies
- Le flux SSO complet est-il cartographié ?
- Chaque Finding a-t-il une reproduction et un impact ?
- Checklist ?