Verifica che la risposta SAML provenga da un'origine attendibile

La firma dovrebbe essere valida contro una chiave. Dovresti avere una chiave corrispondente per qualsiasi entità con cui stai scambiando dati. Le entità non autorizzate non avranno le chiavi e lo spazio delle chiavi di qualsiasi protocollo di crittografia valido e ampiamente accettato renderà impossibile la forzatura bruta.

Dal testo della tua domanda, penso che potresti voler leggere il concetto di firme digitali .

Come ha detto @Jeff Ferland, devi fidarti della chiave del party remoto.

Questo è esattamente il motivo per cui le federazioni Shibboleth sono progettate per, per esempio. Se si guarda un tipico esempio di configurazione Shibboleth SP , verrà regolarmente prelevato un file di metadati che tirerà il certificati degli IdP che fanno parte della federazione. È necessario verificare che ci si fidi di tale elenco in genere (può essere firmato dal certificato di federazione o reso disponibile da un server HTTPS attendibile). Quindi devi verificare che la risposta SAML ricevuta sia emessa da uno degli IdP in tale federazione.

Si noti che questo è solo un modo per ottenere un elenco di certificati affidabili. Potresti farlo più manualmente se sai in anticipo quali IdP di cui sei disposto a fidarti. Dovrai sempre configurare almeno un "punto di ingresso" più o meno manualmente (in questo caso, intendo sia un certificato IdP di cui ti fidi, fuori dalle bande o un certificato CA della federazione): questo è lo stesso problema di qualsiasi PKI , compreso il modo in cui ti fidi dei siti web nel tuo browser.

La vera difficoltà in questo tipo di ambiente non è propriamente tecnica, anzi, è la parte amministrativa con cui si negoziano con i partner quali certificati si vogliono fidare (e quali attributi possono essere scambiati).