Text & Dokumente expand_more
Zahlen & Berechnung expand_more
Daten & Formate expand_more
Sicherheit expand_more
Entwicklung & DevOps expand_more
Künstliche Intelligenz expand_more
Finanzen expand_more
Gesundheit & Wohlbefinden expand_more
Produktivität expand_more
Spiele & Unterhaltung expand_more
Multimedia & Design expand_more
Unternehmen expand_more
Was das ist
Füge eine SAMLResponse/SAMLRequest ein — die komplette URL eines Redirect-Bindings, den Base64-Wert eines POST-Bindings oder das bereits dekodierte XML — und sie wird dekodiert und geprüft: Signatur, Algorithmen, Ablauf, Audience und das klassische Angriffsmuster XML Signature Wrapping (XSW). Nichts verlässt den Browser.
Was das NICHT macht
Dies prüft die STRUKTUR der Nachricht, validiert die Signatur aber nicht kryptografisch (dafür bräuchte es das öffentliche Zertifikat des IdP, das hier nicht eingefügt wird). Eine vorhandene Signatur mit gutem Algorithmus kann trotzdem ungültig sein, wenn das Zertifikat nicht passt — das prüft dein Service Provider, nicht dieses Tool.
Was ist XSW?
XML Signature Wrapping: Ein Angreifer schleust ein neues Element ein (mit derselben ID wie das Original oder einer anderen), damit der Code, der die Signatur validiert, etwas anderes betrachtet als der Code, der die Daten liest. Das bricht in der Produktion immer noch SSO-Implementierungen — PortSwigger hat es 2025 erneut dokumentiert.
