Laboratorio de configuraciones incorrectas de SSO
Revisa una cola de conexiones SAML y OIDC decodificadas y da cada una por buena o nombra su defecto concreto.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una conexión de SSO rota no parece rota: es un ajuste de siete que está mal. Revisas una cola de unas 20 conexiones de proveedor de servicios SAML y OIDC decodificadas y das tu veredicto en cada una: endurecida, o el defecto concreto. Los defectos sembrados en la cola son una firma que nunca se valida o que solo comprueba el sobre (XML Signature Wrapping), una redirección abierta en el RelayState del ACS o en el redirect_uri, la aceptación de respuestas no solicitadas iniciadas por el IdP sin compensaciones, Audience, Recipient o Destination sin vincular, una aserción con vida demasiado larga o sin protección contra la repetición, un manejo débil del NameID o de la identidad, y una clave de firma del IdP sin fijar. Se te puntúa por la tasa de detección frente a los falsos positivos: señalar una conexión bien endurecida lleva una penalización extra de higiene, porque una revisión que da falsas alarmas es tan inútil como una que deja pasar un hueco de aserciones falsificadas. Los niveles de dificultad añaden configuraciones más sutiles y trampas deliberadas: un portal iniciado por el IdP endurecido, un cliente público con PKCE y sin secreto y una referencia de firma fijada a la aserción consumida. No se analiza ni se envía nada: las conexiones son resúmenes decodificados escritos a mano, y tras la evaluación cada una explica por qué su veredicto es el correcto. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee la configuración decodificada de cada conexión SAML u OIDC.
- Comprueba la validación de la firma, la redirección, las respuestas iniciadas por el IdP, la vinculación de la audiencia, la vida de la aserción y la repetición, la identidad y la fijación de la clave.
- Da tu veredicto: OK o el defecto concreto.
- Revisa tu tasa de detección, tus falsos positivos y la explicación de cada conexión.
Preguntas frecuentes
¿Qué es el laboratorio de configuraciones incorrectas de SSO?
Un ejercicio en el navegador en el que revisas una cola de conexiones de proveedor de servicios SAML y OpenID Connect decodificadas (cómo se valida la firma, cómo se comprueba la redirección tras el inicio de sesión con RelayState o redirect_uri, si se aceptan respuestas no solicitadas iniciadas por el IdP, si Audience, Recipient y Destination están vinculados, la vida de la aserción y la protección contra la repetición, cómo se identifica la cuenta con NameID, sub o email, y si la clave de firma del IdP está fijada) y das a cada una un veredicto: OK o una configuración incorrecta concreta. Se te puntúa por cuántos defectos reales detectas frente a cuántas conexiones endurecidas señalas por error.
¿Cómo se puntúa?
Cada conexión tiene un único veredicto correcto. Tu tasa de detección es la proporción de conexiones mal configuradas que identificas con el hallazgo exacto. Los falsos positivos (señalar una conexión bien endurecida) llevan una penalización extra de higiene, porque una revisión en la que los ingenieros de seguridad no pueden confiar es tan inútil como una que pasa por alto un hueco de firma envuelta o de redirección abierta. Una partida perfecta acierta todas las conexiones, incluidas las sanas.
¿Qué conceptos de seguridad de SSO cubre?
Endurecimiento real de SAML y OIDC: verificar la firma de la aserción (no solo el sobre Response) y vincular la referencia firmada al elemento consumido para bloquear el XML Signature Wrapping; lista de permitidos con coincidencia exacta para el RelayState del ACS y el redirect_uri de OIDC para evitar redirecciones abiertas; exigir InResponseTo en los flujos iniciados por el SP y compensar los casos de uso endurecidos iniciados por el IdP; validar Audience, Recipient y Destination para rechazar un token emitido para otro SP; ventanas NotOnOrAfter ajustadas más protección de un solo uso contra la repetición (ID de aserción, nonce o jti); identificar las cuentas por un sujeto estable y verificado en lugar de un NameID transitorio o un email sin verificar; y fijar el certificado de firma del IdP en lugar de confiar en metadatos sin autenticar o actualizados automáticamente.
¿Procesa tráfico de SSO real?
No. No se sube nada, no se analiza ninguna SAML Response ni ningún token OIDC y no se ejecuta ninguna criptografía. Las conexiones son resúmenes de configuración decodificados, realistas y escritos a mano, incluidos en la página, y el laboratorio es totalmente determinista. Funciona íntegramente en tu navegador: sin instalación y sin enviar nada a ninguna parte.
¿Para quién es?
Para ingenieros de IAM y de plataforma que configuran conexiones SAML u OIDC, revisores de seguridad de aplicaciones que aprueban integraciones de SSO y cualquiera que prepare una entrevista de seguridad y quiera entender por qué una firma que solo cubre el sobre, un RelayState sin validar, una aserción no solicitada sin compensaciones o una clave de firma sin fijar son hallazgos, y por qué un portal endurecido iniciado por el IdP o un cliente público con PKCE no lo son.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.