SAML

주체는 SAML 교환에서 인증 정보의 대상이 되는 사용자 또는 시스템을 가리킨다. 주체는 일반적으로 최종 사용자이지만, 서비스나 장치일 수도 있다. SAML 어설션은 이 주체에 대한 정보를 담고 있으며, 인증 당사자가 이를 생성하고 신뢰 당사자가 이를 신뢰하여 접근을 허용한다.

신뢰 당사자는 주체가 제공한 자격 증명을 직접 처리하지 않고, 제3의 인증 당사자로부터 받은 어설션을 신뢰하는 서비스 제공자를 의미한다. 주로 사용자가 접근하려는 애플리케이션이나 웹 서비스가 이 역할을 담당한다. 신뢰 당사자는 인증 당사자와 사전에 신뢰 관계를 구축하고, 수신한 어설션이 유효한지 검증한 후 주체에게 서비스를 제공한다.

인증 당사자는 주체의 신원을 확인하고 이를 증명하는 SAML 어설션을 생성하는 주체이다. 일반적으로 ID 공급자라고 불리는 중앙 집중식 인증 서버가 이 역할을 수행한다. 인증 당사자는 주체의 인증 정보(예: 사용자명과 비밀번호)를 검증하고, 그 결과와 추가 속성(예: 역할, 이메일)을 담은 어설션에 서명하여 신뢰 당사자에게 전달한다.

이 세 구성 요소의 관계는 다음과 같이 정리할 수 있다.

이 구조를 통해 애플리케이션(신뢰 당사자)은 복잡한 인증 로직을 구현할 필요 없이, 전문 인증 서비스(인증 당사자)가 제공한 신원 정보를 신뢰하고 활용할 수 있다. 이는 싱글 사인온 구현의 기초가 된다.

어설션은 SAML의 핵심 데이터 객체로, 한 당사자가 다른 당사자에 대해 만든 보안에 관한 진술을 담고 있다. 주로 인증 당사자가 생성하며, 특정 주체가 언제, 어떻게 인증되었는지, 어떤 속성을 가지고 있는지, 어떤 리소스에 접근할 권한이 있는지에 대한 정보를 포함한다. 어설션은 XML 형식으로 표현되며, 서명되어 무결성과 발행자를 보증받는다.

SAML 프로토콜은 당사자 간에 어설션을 요청하고 전달하기 위해 정의된 표준화된 메시지 교환 규칙이다. 주요 프로토콜로는 인증 요청 프로토콜, 어설션 쿼리/응답 프로토콜, 단일 로그아웃 프로토콜 등이 있다. 예를 들어, 신뢰 당사자는 인증 요청 프로토콜을 사용해 인증 당사자에게 사용자 인증을 요청하고, 인증 당사자는 응답 프로토콜을 통해 어설션을 포함한 응답을 반환한다.

바인딩은 추상적인 SAML 프로토콜 메시지를 실제 전송 프로토콜 상에서 어떻게 포장하고 전송할지 정의하는 매핑 규칙이다. 다양한 상황에 맞게 여러 바인딩이 표준화되어 있다.

프로토콜이 '무엇을' 교환할지 정의한다면, 바인딩은 '어떻게' 교환할지를 결정한다. 적절한 바인딩 선택은 보안, 상호운용성, 배포 환경에 중요한 영향을 미친다.

SAML 메타데이터는 신뢰 당사자(SP)와 인증 당사자(IdP)가 서로를 안전하게 식별하고 통신하는 데 필요한 기술 구성 정보를 포함하는 XML 문서이다. 이는 사전에 구성 정보를 교환함으로써 수동 설정을 줄이고, 파트너십 구축을 자동화하는 데 핵심적인 역할을 한다.

메타데이터 문서에는 일반적으로 엔터티 ID, 사용 가능한 엔드포인트 URL(예: 단일 로그온(SSO) 서비스, 단일 로그아웃 서비스), 지원하는 바인딩 유형(예: HTTP POST, HTTP 리디렉션), 그리고 공개 인증서 정보가 포함된다. 공개 인증서는 메시지 서명 검증이나 암호화에 사용된다. 표준화된 형식을 통해 상호 운용성이 보장되며, 시스템은 상대방의 메타데이터를 구독하거나 정기적으로 갱신하여 구성 변경 사항을 자동으로 반영할 수 있다.

메타데이터의 신뢰성과 무결성을 보장하기 위해, 문서 자체에 디지털 서명을 적용하는 것이 일반적이다. 수신 측은 알려진 서명 인증서를 사용하여 메타데이터의 출처와 변조 여부를 검증한다. 배포 방식은 정적 파일을 웹 서버에 호스팅하거나, 메타데이터 교환 프로토콜을 통해 동적으로 제공하는 등 다양하다.

SP 시작 로그인은 사용자가 서비스 제공자(SP)의 웹사이트나 애플리케이션에 접근하려 할 때 시작되는 가장 일반적인 SAML 워크플로우이다. 이 방식은 종종 웹 브라우저 SSO 프로필을 사용한다.

과정은 다음과 같이 진행된다. 먼저, 인증되지 않은 사용자가 SP 보호 리소스에 접근한다. SP는 사용자를 인증하기 위해 신뢰하는 인증 당사자(IdP)로 리디렉션한다. 이때 SP는 <samlp:AuthnRequest> 메시지를 생성하여 사용자 에이전트(보통 웹 브라우저)를 통해 IdP로 전송한다. 이 요청에는 요청 ID, 발행 시각, 어설션 소비 서비스(ACS) URL, SP의 식별자 등이 포함된다. IdP는 사용자를 인증한 후(예: 아이디/비밀번호 입력), <samlp:Response> 메시지를 생성한다. 이 응답에는 사용자의 신원과 인증 상태를 담은 SAML 어설션이 포함되며, SP의 ACS URL로 다시 사용자 에이전트를 통해 전송된다. SP는 응답을 검증하고 어설션을 파싱하여 사용자 세션을 생성한 후, 원래 요청한 보호 리소스에 대한 접근을 허용한다.

이 워크플로우의 주요 특징은 인증 요청이 SP에서 시작된다는 점이다. SP는 IdP의 메타데이터를 미리 알고 있어야 하며, 요청과 응답은 종종 HTTP 리디렉션 바인딩 또는 HTTP POST 바인딩을 통해 전송된다. 보안을 위해 메시지는 XML 서명으로 보호되며, 재전송 공격을 방지하기 위해 요청 ID와 응답의 InResponseTo 속성이 매칭되어 검증된다.

IdP 시작 로그인은 사용자가 인증 당사자에서 직접 세션을 시작하는 방식이다. 이 접근법은 포털이나 대시보드와 같은 중앙 집중식 서비스에서 흔히 사용되며, 사용자는 먼저 IdP에 로그인한 후 접근 가능한 애플리케이션 목록에서 특정 신뢰 당사자를 선택하여 접근한다.

워크플로우는 다음과 같다. 사용자가 IdP에 성공적으로 인증되면, IdP는 사용자에게 사전에 구성된 신뢰 당사자 애플리케이션 목록을 표시한다. 사용자가 특정 SP를 선택하면, IdP는 해당 SP에 대한 SAML 어설션을 생성한다. 그런 다음 IdP는 사용자의 브라우저를 SP의 어설션 소비 서비스 엔드포인트로 리디렉션하며, 이 요청에는 SAML 응답(보통 SAMLResponse 매개변수에 포함됨)이 전달된다. SP는 이 어설션을 검증하고, 유효하면 사용자를 위한 로컬 세션을 생성하여 애플리케이션에 대한 접근을 허용한다.

이 방식의 주요 장점은 사용자 경험의 단순화와 IdP의 중앙 집중식 관리에 있다. 사용자는 최초 인증 후 여러 애플리케이션에 원클릭으로 접근할 수 있으며, IdP에서 세션을 종료하면 연관된 모든 SP의 접근이 일괄적으로 차단될 수 있다. 그러나 이 방식은 SP 측에서 사전에 사용자 계정이 프로비저닝되어 있어야 정상적으로 작동한다는 점에 유의해야 한다.

인증문은 SAML 어설션 내에서 주체의 인증 이벤트에 대한 정보를 담고 있는 명세문이다. 이는 주체가 특정 시간에 특정 수단을 통해 어떻게 인증을 받았는지를 기술하며, 신뢰 당사자가 인증 강도와 컨텍스트를 평가하는 데 핵심적인 근거를 제공한다.

인증문은 일반적으로 다음과 같은 주요 요소를 포함한다.

AuthnContext는 특히 중요하며, 인증의 강도를 나타내는 AuthnContextClassRef(예: urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport)나 구체적인 인증 방법을 기술하는 AuthnContextDecl을 포함할 수 있다. 이를 통해 신뢰 당사자는 자신의 보안 정책에 부합하는 충분히 강력한 인증이 수행되었는지 판단할 수 있다. 인증문은 단순히 인증 사실을 넘어, 신뢰 당사자가 인증 세션의 유효성을 관리하고 단일 로그아웃과 같은 고급 기능을 지원하는 데도 기여한다.

속성문은 SAML 어설션 내에서 주체에 대한 특정 정보를 전달하는 SAML 구성 요소이다. 인증문이 '누구인가'를 증명하는 반면, 속성문은 '무엇을 가지고 있는가'에 대한 정보, 즉 사용자의 속성을 담는다.

속성문은 하나 이상의 SAML 속성으로 구성된다. 각 속성은 이름(Name)과 하나 이상의 값을 가지며, 일반적으로 LDAP 디렉터리나 데이터베이스에서 가져온 사용자 프로필 데이터를 표현한다. 예를 들어, 사용자의 이메일 주소, 부서, 역할, 그룹 멤버십 등의 정보가 여기에 해당한다. 신뢰 당사자는 이 정보를 기반으로 접근 제어 정책을 적용하거나 애플리케이션 내에서 사용자 인터페이스를 개인화한다.

속성문의 일반적인 구조는 다음과 같다.

속성문은 인증 당사자가 신뢰 당사자에게 보내는 어설션에 포함되며, 신뢰 당사자는 이를 신뢰하여 사용자 정보의 원천으로 활용한다. 이 과정에서 속성 값의 무결성과 기밀성을 보장하기 위해 어설션 전체 또는 속성문 부분에 대한 디지털 서명과 암호화가 적용될 수 있다.

권한부여결정문은 SAML 어설션 내에 포함될 수 있는 세 가지 주요 문 유형 중 하나로, 주체가 특정 리소스에 접근할 권한이 있는지 여부에 대한 결정을 전달합니다. 이는 인증문이 '누구인가'를 확인하고 속성문이 '무엇을 가지고 있는가'를 기술하는 것과 구분되며, '무엇을 할 수 있는가'에 대한 허가 결정을 담당합니다.

이 문은 일반적으로 AuthorizationDecisionStatement 요소로 표현되며, 주체(Subject), 의사결정이 필요한 리소스(Resource), 수행하고자 하는 행위(Action), 그리고 최종 결정(Decision)을 포함합니다. 결정은 일반적으로 "허용(Permit)", "거부(Deny)", "불확실(Indeterminate)" 중 하나의 값으로 표시됩니다. 예를 들어, 특정 사용자가 특정 문서 파일에 대해 "읽기" 행위를 수행할 권한이 있는지를 질의하고 그 결과를 전달하는 데 사용될 수 있습니다.

그러나 실제 SAML 기반 연합 인증 시스템에서 권한부여결정문의 사용은 상대적으로 드물습니다. 이는 권한 부여 결정이 종종 인증 당사자의 영역이 아니라 신뢰 당사자의 애플리케이션 로직 내에서, 속성문을 통해 전달받은 사용자 속성(Attribute)이나 역할(Role) 정보를 기반으로 내부적으로 처리되기 때문입니다. 즉, IdP는 사용자 신원과 속성을 증명하고, SP는 이를 바탕으로 자체 정책에 따라 접근 제어 결정을 내리는 아키텍처가 더 일반적입니다.

따라서 권한부여결정문은 인증과 권한 부여 결정을 모두 중앙의 인증 당사자에서 수행하고 그 결과를 통보해야 하는 특정한 시나리오나, 매우 세분화된 접근 제어 정책이 연합 수준에서 관리되어야 할 경우에 주로 활용됩니다. 대부분의 현대 구현에서는 XACML과 같은 전용 권한 부여 표준이 이 역할을 보다 전문적으로 수행합니다.

SAML 메시지의 무결성과 기밀성을 보장하기 위해 XML 서명과 XML 암호화를 활용합니다. 이는 메시지가 변조되지 않았음을 증명하고, 민감한 정보를 보호하는 데 핵심적인 역할을 합니다.

주요 보안 메커니즘은 다음과 같습니다.

어설션은 발행자(IdP)에 의해 서명되는 것이 일반적입니다. 이 서명을 통해 신뢰 당사자(SP)는 어설션의 출처를 신뢰하고, 전송 중 내용이 변경되지 않았음을 확인할 수 있습니다. 필요에 따라 어설션 내의 특정 속성문만을 별도로 서명하거나 암호화할 수도 있습니다. 암호화는 주로 사용자의 식별 정보나 민감한 속성 값을 보호할 때 사용되며, 어설션 전체를 암호화하여 중간자 공격(MITM)으로부터 보호하기도 합니다.

배포 시에는 메타데이터 교환을 통해 상대방의 공개 키를 사전에 공유합니다. IdP와 SP는 이 공개 키를 사용하여 서명을 검증하거나, 암호화된 내용을 복호화하기 위한 자신의 개인 키를 안전하게 보관합니다. 이러한 서명과 암호화의 조합은 SAML 기반 싱글 사인온(SSO)이 안전하게 이루어질 수 있는 토대를 제공합니다.

재전송 공격은 공격자가 합법적인 사용자로부터 가로챈 SAML 어설션을 나중에 다시 제출하여 인증을 획득하는 공격 방식이다. 이를 방지하기 위해 SAML은 여러 메커니즘을 정의한다.

가장 일반적인 방법은 어설션에 유효 시간 조건을 포함시키는 것이다. NotBefore와 NotOnOrAfter 속성을 사용하여 어설션이 유효한 시간 창을 명확히 정의한다. 신뢰 당사자는 어설션을 수신할 때 반드시 현재 시간이 이 시간 창 내에 있는지 검증해야 한다. 또한, 인증 당사자는 IssueInstant 값을 기록하여 어설션 발급 시간을 명시한다. 너무 오래된 어설션은 재전송 공격일 가능성이 높으므로 거부된다.

일회성 사용을 보장하기 위한 추가 수단으로 어설션 ID의 추적이 있다. 신뢰 당사자는 이미 사용된 어설션 ID를 캐시하거나 데이터베이스에 저장하여, 동일한 ID를 가진 어설션이 다시 제출되면 이를 거부할 수 있다. 이 메커니즘의 효과적인 구현을 위해서는 ID의 고유성과 저장소 관리가 중요하다. 일부 배포에서는 더 강력한 보안을 위해 수신자 제한 조건을 활용하기도 한다. 어설션의 의도된 수신자를 특정하여, 다른 엔터티가 해당 어설션을 사용하는 것을 원천적으로 차단한다.

이러한 조치들은 상호 보완적으로 적용되어, 단일 메커니즘의 우회를 방지한다. 예를 들어, 시간 조건 검증과 어설션 ID 추적을 함께 사용하면 보안성이 크게 향상된다. 모든 SAML 구현은 재전송 공격에 대한 방어 수단을 반드시 포함해야 하며, 이는 SAML 프로파일과 바인딩 사양에 명시된 보안 요구사항의 핵심 부분이다.

인증 당사자 구현은 SAML 기반 연합 신원 관리 시스템에서 사용자의 신원을 확인하고 어설션을 생성하는 핵심 서버 측 구성 요소를 구축하는 과정을 의미한다. 일반적으로 인증 당사자는 조직 내부의 사용자 저장소와 통합되어 작동한다.

주요 구현 작업은 사용자 인증 인터페이스 제공, 신뢰 당사자로부터의 인증 요청 처리, 그리고 유효한 SAML 어설션 생성 및 서명으로 구성된다. 구현 시에는 SAML 프로토콜에 정의된 다양한 바인딩을 지원해야 하며, 특히 HTTP POST 바인딩과 HTTP 리다이렉트 바인딩이 널리 사용된다. 또한, 신뢰할 수 있는 신뢰 당사자 목록을 관리하기 위해 SAML 메타데이터를 게시하고 소비하는 기능이 필수적이다.

인증 당사자 소프트웨어는 상용 제품, 오픈 소스 솔루션, 또는 클라우드 기반 IDaaS 형태로 제공된다. 일반적인 구현 옵션은 다음과 같다.

구현 시 고려해야 할 주요 기술 요소는 강력한 암호화를 사용한 어설션 서명, 재전송 공격을 방지하기 위한 AssertionConsumerService URL 검증 및 요청 ID 관리, 그리고 정기적인 메타데이터 갱신 정책 수립이다. 또한, 단일 로그아웃 프로파일을 지원하여 보안성을 높이는 것이 권장된다.

신뢰 당사자(SP) 구현은 SAML 기반 싱글 사인온 시스템에서 사용자에게 서비스를 제공하는 애플리케이션을 구축하는 과정을 의미한다. 핵심은 인증 당사자(IdP)로부터 전달받은 SAML 어설션을 신뢰하고, 그 안에 포함된 사용자 정보를 기반으로 애플리케이션 내 세션을 생성하는 것이다.

구현의 첫 단계는 메타데이터 교환이다. SP는 자신의 엔드포인트 URL, 공개 서명 인증서 등을 담은 메타데이터를 생성하여 IdP에 제공하고, 동시에 IdP의 메타데이터를 받아 신뢰할 수 있는 파트너로 등록해야 한다. 이후 SAML 워크플로우에 따라 인증 요청을 생성하고, IdP로부터의 응답을 처리하는 로직을 구현한다. 이 과정에는 SAML 프로토콜 메시지의 생성, 전송, 파싱 및 검증이 포함된다.

보안 구성은 구현의 필수 요소이다. SP는 수신하는 모든 어설션에 대해 다음 사항을 반드시 검증해야 한다.

마지막으로, 검증된 어설션에서 사용자 식별자(네임ID)나 속성문을 추출하여 애플리케이션의 내부 사용자 객체에 매핑하고 세션을 시작한다. 많은 웹 애플리케이션 프레임워크와 클라우드 서비스는 SAML SP 기능을 위한 공식 라이브러리나 플러그인을 제공하여 구현 부담을 줄여준다.