SAML: Ein fraktales Design des Scheiterns
SAML: A Fractal of Bad Design
SAML wurde 2002 von einem OASIS-Komitee entwickelt und dominierte jahrzehntelang die Single-Sign-on-Industrie. Doch der Autor argumentiert, dass SAML unter seiner eigenen Komplexität zusammenbricht: XML-Signatur-Wrapping, Kanonisierung und Parser-Differentiale machen es bis heute angreifbar. Er fordert, SAML zugunsten moderner Alternativen wie OpenID Connect abzukündigen.
Was an SAML heimtückisch ist, ist, dass es wirklich größtenteils unkompliziert zu verstehen ist, aber es auf einem Fundament aus Sand, Knochenstaub und Asche gebaut ist; es funktioniert … wenn man annimmt, dass die XML-Signaturvalidierung zuverlässig ist. Aber die XML-Signaturvalidierung ist zutiefst verflucht und so kompliziert, dass die meisten eingesetzten SAML-Implementierungen libxmlsec umhüllen, eine üble C-Codebasis, die niemand liest.