Security Assertion Markup Language (SAML) ist ein Authentifizierungsprozess. Wenn Sie morgens im Büro ankommen und sich an Ihrem Computer anmelden, verwenden Sie wahrscheinlich SAML.

Open Authorization (OAuth) ist ein Autorisierungsprozess, dank dem Benutzer zwischen verschiedenen Diensten wechseln können, ohne jedes Mal neue Anmeldedaten eingeben zu müssen. Wenn Sie bei Google angemeldet sind und über die gleichen Anmeldedaten Hootsuite aufrufen, verwenden Sie OAuth.

Beide Prozesse können für Single Sign-On (SSO) im Web verwendet werden, wobei sich SAML eher auf den Benutzer und OAuth auf eine bestimmte Anwendung bezieht. Die Verfahren sind nicht austauschbar und daher nicht wirklich vergleichbar, aber sie lassen sich kombinieren.

Wie funktioniert SAML?

SAML ist ein offener Standard für Identitätsprüfung und Authentifizierung. In einer klassischen Büroumgebung müssen sich die Mitarbeiter anmelden, um Zugriff auf die internen Funktionen des Unternehmens zu erhalten.

Nach erfolgter SAML-Authentifizierung hat der Benutzer Zugriff auf eine ganze Reihe von Tools, einschließlich Unternehmens-Intranet, Microsoft Office und Browser. SAML ermöglicht es dem Benutzer, mit nur einer digitalen Signatur auf all diese Ressourcen zuzugreifen.

In Unternehmen mit strengeren Sicherheitsrichtlinien kann der Benutzer mit SAML unter Umständen nur eine Tür öffnen oder einen Computerbildschirm entsperren. Autorisierung ist erforderlich, damit der Benutzer anschließend bestimmte Aktionen durchführen kann, z. B. auf Dateien zugreifen.

Netzwerkadministratoren haben mit SAML die Möglichkeit, Benutzer zentral zu verwalten. Mit nur einem Passwort werden sämtliche Dienste entsperrt, die der Benutzer für seine Arbeit benötigt, gleichzeitig bleibt das Unternehmen sicher.

So sieht ein typischer SAML-Workflow aus:

• Anfrage: Ein Benutzer tippt auf die Schaltfläche „Anmelden“.
• Validierung: SAML und der Identitätsanbieter stellen eine Verbindung her, um den Benutzer zu authentifizieren.
• Anmeldung: Dem Benutzer wird ein Bildschirm angezeigt, in den er Benutzername und Passwort eingeben muss.
• Tokenerstellung: Wenn der Benutzer die richtigen Informationen eingibt, wird ein SAML-Token an den Dienstanbieter übergeben und der Benutzer kann sich beim Server anmelden.

Mithilfe dieses Workflows können Dienstanbieter, Browser und Identitätsanbieter die Informationen nahtlos übergeben. Da dieser Prozess in der Regel innerhalb weniger Sekunden erfolgt, ist für den Benutzer kaum eine Verzögerung erkennbar.

Wie funktioniert OAuth?

Die Verkürzung „Auth“ kann sowohl für Authentifizierung als auch für Autorisierung stehen. Im Zusammenhang mit dem OAuth-Protokoll meinen wir jedoch speziell die Autorisierung. Mit dem Protokoll wird die Autorisierung zwischen verschiedenen Diensten weitergeben, während Benutzername und Passwort geschützt sind.

Mit OAuth lässt sich enorm viel Zeit einsparen. In manchen Umgebungen wechselt ein durchschnittlicher Mitarbeiter bis zu 1.100 Mal am Tag zwischen verschiedenen Job-relevanten Anwendungen hin und her. Für den Mitarbeiter wäre es wesentlich einfacher, wenn er sich nicht bei jedem Wechsel neu anmelden müsste. Mit OAuth ist das möglich.

Zum Beispiel kann ein Mitarbeiter, der ein aktives Google-Konto besitzt, mit denselben Anmeldeinformationen auch Daten auf anderen Plattformen aufrufen, darunter:

• Hootsuite
• SurveyMonkey
• HotJar
• Microsoft 365
• Salesforce
• Marketo
• Box

Der Mitarbeiter benötigt all diese webbasierten Programme, um seine Aufgaben korrekt zu erfüllen. Der Gedanke, dazu fünf unterschiedliche Sets aus Benutzername und Passwort zu erstellen (und sich diese merken zu müssen) ist ziemlich abschreckend.

Wenn der Benutzer einfach immer dieselben Anmeldedaten, steht die Sicherheit auf dem Spiel. Denn wird eine der Sites kompromittiert, sind nicht nur die kritischen Daten des Benutzers zugänglich, sondern auch die Daten auf den anderen Plattformen in Gefahr. Ganz anders sieht es aus, wenn sich der Benutzer bei einer Site anmeldet, nachdem seine Anmeldedaten zuvor von einer anderen Site validiert wurden.

Einige Verbraucher sehen die Gefahr von Data Mining und befürchten, dass die Verwendung eines solchen Verfahrens Unternehmen wie Facebook zu viel Macht verleiht. Jedes Mal, wenn sich ein Benutzer über Facebook bei anderen Apps und Websites anmeldet, erhält Facebook mehr Einblick in den Kunden. Sollten die Facebook-Daten kompromittiert werden, könnten auch die anderen Anmeldungen des Benutzers fehlschlagen.

Die meisten Mitarbeiter wären jedoch dankbar, wenn sie durch geringeren Aufwand Zeit sparen könnten.

So sieht ein OAuth-Workflow aus:

• Anfrage: Ein Benutzer klickt auf einer Webseite auf die Schaltfläche „Anmelden“.
• Auswahl: Der Client wählt die für die Autorisierung zu verwendenden Anmeldedaten eines Dritten aus.
• Anmeldung: Der Autorisierungsserver erstellt ein Zugriffstoken, das dann an den Ressourcenserver gesendet wird.
• Verbindung: Nach erfolgreicher Prüfung des Tokens gewährt der Ressourcenserver Zugriff.

Während dieses Prozesses senden die beiden Server Informationen hin und her. In der Regel wird für die Token im Rahmen von OAuth JWT verwendet, alternativ kann aber auch JavaScript Object Notation (JSON) eingesetzt werden.

Unabhängig davon, auf welche Art sie erstellt werden, sind Token immer codiert und normalerweise signiert. Da sie von Server zu Server übergeben werden, sind sie jedoch selten verschlüsselt.

Vergleich von OAuth und SAML: Ähnlichkeiten und Unterschiede

OAuth und SAML sind beides Protokolle, die dazu dienen, Interoperabilität zu vereinfachen und zu standardisieren.

Benutzer verwenden diese Tools gerne, um schnell auf wichtige Ressourcen zuzugreifen, ohne immer wieder neue Benutzernamen und Passwörter festlegen zu müssen. Für App-Verantwortliche bieten OAuth und SAML einfaches Onboarding und die Möglichkeit, die Benutzerverwaltung zu delegieren. Für Administratoren bedeuten die Tools schnelle Integration sowie zentralisierte Authentifizierung und Autorisierung.

Die zwei Tools sind jedoch für sehr unterschiedliche Funktionen zuständig:

• Authentifizierung: Dieser Prozess prüft die Identität des Benutzers. SAML hat in etwa die Funktion eines Haustürschlüssels ermöglicht den Zugang zum Haus.
• Autorisierung: Dieser Prozess prüft die Berechtigungen des Benutzers. OAuth entspricht der Hausordnung. Sie gibt vor, was die Person im Haus darf und was nicht, nachdem sie Zugang erlangt hat.