如何使用 SAML 浏览器验证响应是否已签名或未签名
26787
Created On 06/22/20 18:54 PM - Last Modified 03/26/21 18:26 PM
Objective
要排除单一登录 SSO （） 登录问题，在 SAML 浏览器中检索 IdP 的响应很有帮助。此文档包含使用 SAML 浏览器验证响应是否已签名或未签名的步骤。
Environment
使用安全断言标记语言 SAML （） 身份验证的客户：
- GlobalProtect 网关/门户/无客户 VPN （包括 Prisma Access ）
- 身份验证和捕获门户
- PAN-OS 下一代防火墙（ PA- 系列和 VM- 系列）
- Panorama 网络接口。
Procedure
在 SAML 浏览器上可以检查响应的 2 种方式。
选项 1： SAML 在浏览器的开发人员控制台上查看响应
按照适当浏览器的步骤：
谷歌浏览器
- 按 F12 启动开发人员控制台。
- 选择 "网络 "选项卡，然后选择 "保留日志"。
- 访问 Firewall IP 接受 SAML 身份验证请求和供应 SAML 凭据的权限。
- 登录成功后，在开发人员控制台窗格中查找 SAML 帖子 。 选择该行，然后查看底部的 "头" 选项卡。 查找包含编码请求的 SAML 响应 属性。 确保"目的地"字段在 SAML 响应中为 ACS URL 。 SAML响应属性包含编码请求。 使用 Base64 解码器来调查解码响应。
谷歌铬 - SAML 开发图扩展
- SAML在Chrome浏览器上安装开发程序扩展。
- 打开开发人员工具并单击 SAML 选项卡。
- Firewall IP 触发 SAML 身份验证的访问。 提示时，输入 SAML 凭据。 您现在应该在 SAML "路径"部分下查看请求。
- 单击 SAML POST 请求并查看 SAML 响应。 确保"目的地"字段在 SAML 响应中为 ACS URL 。
- 验证 SAML 响应/断言具有"签名"部分（如下所示），以确认 SAML 已签署响应/断言。
Mozilla 火狐浏览器
- 按 F12 启动开发人员控制台。
- 在开发人员工具窗口的右上角，单击选项（小齿轮图标），然后选择持久日志。
- 选择 网络 选项卡。
- 访问 Firewall IP 接受 SAML 身份验证请求和供应 SAML 凭据的权限。
- 登录成功后， POST SAML 在表中查找。 选择该行。 在右侧 的表单数据 窗口中，查找 SAML 响应 元素。 确保"目的地"字段在 SAML 响应中为 ACS URL 。 SAML响应属性包含编码请求。 使用 Base64 解码器来调查解码响应。
（或者，您可以 SAML 在火狐中安装跟踪器附加组件。 这是一个工具，用于查看 SAML 在单次登录和单次登录期间通过浏览器发送的消息）。
微软互联网浏览器
- 可以通过使用第三方工具分析互联网浏览器中的网络流量。
- 下载和安装菲德尔并捕获数据。 可通过此链接访问详细说明。
（SAML 响应数据可能包含敏感的安全信息。建议使用本地计算机上安装的工具来解码数据，而不是在线基础解码器，以便数据不会通过互联网发送）。
MacOS 和 Linux 系统内置选项以解码 Base64 编码 SAML 响应：$ 回声"基础64编码"|基础64-解码
窗口系统（电源壳）的内置选项：PS C：\> [系统.文本.编码]：UTF8.获取斯特林 （[系统. 转换]： 从 Base64 弦 （"基础 64 编码"）
选项 2： SAML 在浏览器页面上查看响应
- 转到 firewall 并发布以下命令。 在 IP firewall SAML "ip-主机名"旁边提供接受身份验证请求的地址。 在此示例中，为客户生成了 saml-url。 GlobalProtect 您还可以使用"生成-萨姆尔-乌尔"命令为捕获门户和管理 WebUI SAML 客户端生成 saml-url。
admin@9.2-New-CFW> test generate-saml-url global-protect ip-hostname <ip-address:port> authprofile SAML-Onelogin vsys vsys1
https://10.46.42.154:443/SAML20/ / SP TEST vsys = vsys1 = 身份 = SAML- 奥洛金
- 复制以上内容 URL 并将其粘贴在浏览器中并提供 SAML 凭据。 然后，您将在 SAML 浏览器页面上看到响应。 A SAML 带有"签名信息" 字段的响应或断言表示 SAML 已签署响应。