6. セキュリティに関する考慮事項

TLSサーバーは複数のアプリケーションをサポートでき、各アプリケーションには複数の機能が含まれる場合があり、それぞれに個別の認可チェックが必要です。これが、複数の認可情報を提供できる理由です。

異なるアプリケーションまたは異なるアプリケーション機能に対して異なる認可情報を必要とするTLSサーバーは、クライアントがこれらの提供物のサブセットへのアクセスを許可するのに十分な認可情報を提供したことを発見する可能性があります。この状況では、TLSハンドシェイクプロトコルは正常に完了します。ただし、サーバーはクライアントが適切なアプリケーションとアプリケーション機能のみを使用できるようにする必要があります。つまり、TLSサーバーは、認可が確認されていないアプリケーションおよびアプリケーション機能へのアクセスを拒否する必要があります。

認可情報自体が機密である場合、ダブルハンドシェイク技術を使用して認可情報の保護を提供できます。図2はダブルハンドシェイクを示しており、初期ハンドシェイクには認可拡張が含まれていませんが、保護された通信が生成されます。次に、認可情報を含む2番目のハンドシェイクが、保護された通信を使用して実行されます。

ベアラーSAMLアサーションの使用により、盗聴者または中間者攻撃者がSAMLアサーションをキャプチャして別のコンテキストで再利用しようとすることが可能になります。TLSセッションにおける両当事者の認証（クライアント認証の使用を含む）により、検出されない中間者攻撃が防止されます。