Questão de Segurança da Informação — SAML — VUNESP 2024

SAML 2.0 — AuthnRequest

Gabarito: letra E. No SAML 2.0, o elemento que o provedor de serviços (SP) envia ao provedor de identidade (IdP) para solicitar uma asserção de autenticação é o <samlp:AuthnRequest> — o prefixo samlp denota o namespace do protocolo SAML, que contém as mensagens de requisição/resposta, enquanto o prefixo saml (sem o "p") denota o namespace da asserção. É exatamente essa distinção de namespaces que a questão explora.

O SAML (Security Assertion Markup Language) é um padrão baseado em XML para troca de dados de autenticação e autorização entre sistemas, amplamente usado em soluções de Single Sign-On (SSO). No fluxo típico, o usuário tenta acessar um recurso no Service Provider (SP); o SP, então, redireciona o usuário para o Identity Provider (IdP) para que ele se autentique. Para iniciar esse processo, o SP envia uma mensagem de protocolo ao IdP — essa mensagem é o AuthnRequest. O IdP, após autenticar o usuário, responde com uma mensagem contendo a asserção SAML (elemento <saml:Assertion>), que carrega as declarações (statements) sobre o sujeito, como a AuthenticationStatement.

A pegadinha central está nos namespaces: o prefixo samlp (SAML Protocol) é usado para os elementos de protocolo, como AuthnRequest e Response; já o prefixo saml (SAML Assertion) é usado para os elementos de asserção, como Assertion, AttributeStatement e Conditions. A alternativa correta é a única que usa o prefixo samlp e nomeia corretamente o elemento de requisição. As demais alternativas ou usam o prefixo errado (deveriam usar saml), ou nomeiam elementos que não existem no padrão, ou descrevem elementos que não são emitidos pelo SP nesse contexto.

Para fixar: o SP solicita autenticação com um AuthnRequest (protocolo, samlp); o IdP responde com uma Response (protocolo, samlp) que contém a Assertion (asserção, saml). A Assertion é o "token" que o IdP emite, e dentro dela estão as declarações, como AuthenticationStatement e AttributeStatement. O Conditions é um elemento da asserção que define condições de validade (como prazo de expiração).

Guarde essa fronteira: quem pede é o SP, quem emite é o IdP; o pedido é AuthnRequest, a resposta é Assertion. É nessa distinção que as alternativas se dividem.

Alternativa A — ❌ Incorreta

<samlp:Assertion> — erro duplo. Primeiro, o prefixo está errado: Assertion pertence ao namespace de asserção (saml), não ao de protocolo (samlp). Segundo, a Assertion é emitida pelo IdP em resposta ao pedido, não pelo SP para solicitar autenticação. O elemento correto seria <saml:Assertion>.

Alternativa B — ❌ Incorreta

<samlp:AttributeStatement> — também usa o prefixo errado (samlp em vez de saml). Além disso, AttributeStatement é uma declaração que carrega atributos do usuário (como nome, e-mail, perfil) e fica dentro da Assertion emitida pelo IdP — não é uma mensagem de requisição enviada pelo SP.

Alternativa C — ❌ Incorreta

<samlp:Conditions> — mesmo erro de namespace: Conditions é um elemento da asserção (saml), não do protocolo (samlp). Ele define as condições de validade da asserção (ex.: período de validade, público-alvo) e é parte da Assertion emitida pelo IdP, não uma requisição do SP.

Alternativa D — ❌ Incorreta

<samlp:GetId> — esse elemento não existe no padrão SAML 2.0. É um distrator puro, inventado para confundir. Não há nenhuma mensagem de protocolo chamada "GetId" no SAML.

Alternativa E — ✅ Correta ⟵ GABARITO

<samlp:AuthnRequest> — é exatamente o elemento de protocolo (namespace samlp) que o Service Provider envia ao Identity Provider para solicitar uma asserção de autenticação. O AuthnRequest contém informações como o ID da requisição e a identificação do SP, e o IdP responde com uma Response contendo a Assertion.

Gabarito: letra E