SAML Response中<KeyInfo>标签携带证书是否为IdP公钥问询

SAML响应<KeyInfo>标签证书相关问题解答 #

你在SAML响应中看到的<KeyInfo>标签内携带的X509证书，确实是IdP侧用于签名SAML响应的公钥证书。

针对你关心的一致性校验问题，核心要求如下：

• 作为SP侧，你必须校验该证书和你预先从官方IdP元数据中获取的信任公钥完全一致，这是SAML签名校验流程中不可跳过的核心安全环节。
• 该字段是IdP为了方便SP快速定位签名证书嵌入的，本身不具备可信属性，如果跳过一致性校验直接使用响应中的证书验签，攻击者可以自行生成密钥对伪造SAML响应，完全绕过身份认证逻辑。
• 如果校验时出现不一致的情况，优先确认IdP是否近期做了证书轮换且未同步更新公开元数据，不要直接放行校验不通过的请求。

你贴出的是SAML标准的内嵌公钥证书结构：

<KeyInfo>
  <X509Data>
    <X509Certificate>MII...</X509Certificate>
  </X509Data>
</KeyInfo>

内容的提问来源于stack exchange，提问作者DevAlp12