如何使用SAML2在IDP启动的SSO中防止重放攻击

Question

在IDP启动的SSO中，来自IDP的SAML响应可能容易受到重放攻击。由于SP在收到响应之前不知道IDP启动的会话，因此有哪些可能的方法来保护重放攻击？

Answer 1

SP应在断言的生存期内保留已接受断言的ID列表，以防止重播。

还有ID更改——这在正确签名的断言/响应中是不可能的。处于中间的人什么都改变不了。如果改变是可能的，你会遇到比重播更大的问题。