SAML закрытый и общедоступный c обмен ключами

Question

Наш клиент (IDP) запросил наш закрытый ключ, чтобы они могли зарегистрировать наш сервис как SP, что кажется мне очень странным запросом, поскольку предоставление ему нашего личного ключа дает им возможность расшифровывать любой другой наш клиенты запрашивают SAML и даже создают запросы и атакуют другие IdP, к которым мы подключены.

Я немедленно отключил это, но они попросили меня обратиться к Azure AD B2 C документации

Чтобы построить доверительные отношения между вашим поставщиком услуг и Azure AD B2 C, вам необходимо предоставить сертификаты X509 и их закрытые ключи .

* 1011. *

Это нормально? Я предполагал, что им нужен только наш сертификат x509

Answer 1

Из документации видно, что ваш личный ключ всегда остается с вами:

Сертификат с личным ключом, хранящийся в вашем веб-приложении

, личный ключ находится в приложение SP (веб-приложение, которое обеспечивает функциональность SP) и используется для подписи SAML Request для IdP. Для проверки подлинности IdP требуется только сертификат Publi c ключа SP из метаданных SP.

(Необязательно) Сертификат с закрытым ключом, хранящимся в вашем веб-приложении

это необязательно для IdP для шифрования SAML Response с использованием сертификата ключа SP * publi c из метаданных SP. Затем SP использует свой закрытый ключ для расшифровки ответа.

Формулировка не очень хорошая, так как кажется, что она передает как открытые c, так и закрытые ключи IdP. Это не то, как SAML работает, хотя. Это имеет гораздо больше смысла, когда читается как «передать ключ publi c и сохранить соответствующий закрытый ключ в своем веб-приложении SP».

Я не вижу никакой причины, почему объект должен разглашать свой закрытый ключ ни к чему.