Show TOC

STS-Szenario mit symmetrischem Schlüssel zum Nachrichtenschutz (Signatur, Verschlüsselung und Authentifizierung)Locate this document in the navigation structure

Verwendung

Bei diesem Szenario handeln STS und Consumer einen symmetrischen Schlüssel aus. Dieser wird für die Signatur (Nachrichtensignatur) und Verschlüsselung der Nachricht zwischen Consumer und Provider verwendet. Der Consumer beweist mit dieser Signatur, dass es im Besitz des Schlüssels ist, den der STS signiert hat.

Die Abbildung zeigt, welche Schritte bei diesem Szenario ablaufen:

  1. Der Service-Benutzer des Consumers authentifiziert sich am Sicherheitstokendienst (STS), z.B. mit einem Kerberos-Token, das der STS gegen ein Sicherheitstoken (SAML-Token) austauschen soll. Der Consumer kann Material zum Erstellen des kurzlebigen symmetrischen Schlüssels beisteuern.

  2. Der STS generiert einen kurzlebigen symmetrischen Schlüssel, den er mit dem öffentlichen Schlüssel des Providers verschlüsselt. Der STS fügt diesen Schlüssel zusammen mit dem Sicherheitstoken in die SAML-Assertion ein und signiert die SAML-Assertion mit seinem Signaturschlüssel.

  3. Der STS stellt die SAML-Assertion als SAML-Token aus und schickt dieses zusammen mit seinem Schlüsselmaterial zum Erzeugen des kurzlebigen symmetrischen Schlüssels an den Consumer.

  4. Der Consumer generiert aus seinem und dem Schlüsselmaterial des STS ebenfalls den kurzlebigen symmetrischen Schlüssel.

  5. Der Consumer übernimmt das SAML-Token unverändert in den Nachrichten-Header. Es verschlüsselt den Nachrichtentext und signiert die Nachricht mit dem generierten kurzlebigen symmetrischen Schlüssel. Anschließend sendet es die Nachricht seines Benutzers an den Provider.

  6. Der Provider überprüft die Signatur des STS im SAML-Token und entschlüsselt mit seinem privaten Schlüssel den kurzlebigen symmetrischen Schlüssel, der im SAML-Token enthalten ist. Der Provider verifiziert die Signatur des Consumers (also des Holder-of-Key) mit dem entschlüsselten kurzlebigen symmetrischen Schlüssel. Der STS bestätigt somit, dass der Holder-of-Key das Subjekt (der Benutzer) in der Assertion ist. Der Provider entschlüsselt mit dem kurzlebigen symmetrischen Schlüssel den Nachrichtentext.

  7. Der Provider lässt den Benutzer, dessen ID im SAML-Token enthalten ist, auf die Ressourcen zugreifen.