SAML Spécification QoA

Jusqu'à présent, les propriétaires d'applications devaient choisir les méthodes d'authentification exactes (mot de passe, mTAN, AuthApp, Vasco, Kerberos, Smartcard, Mobile ID, clé de sécurité FIDO) que l'utilisateur pouvait utiliser pour accéder à l'application.

Avec le nouveau concept QoA, la classe QoA correspondante peut être spécifiée directement dans SAML "authnRequest", ce qui permet de présenter à l'utilisateur toutes les méthodes d'authentification qui correspondent au moins à ce niveau QoA.

Vous trouverez les informations concernant le concept QoA sous : Qualité de l'authentification (QoA)

eIAM "AuthnContextClasses"

Ce sont les nouvelles "AuthnContextClasses" pour demander l'authentification d'un utilisateur :

Authentication Level
AuthnContextClasses
QoA10
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:10
QoA20
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:20
QoA30
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:30
QoA40
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:40
QoA50
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:50
QoA51
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:51
QoA60
 urn:qoa.eiam.admin.ch:names:tc:ac:classes:60

Exemple d'un demande d'authentification SAML "authnRequest"


Pour demander un certain niveau de QoA dans une authnRequest SAML, il faut ajouter une AuthnContextClassRef (lignes 26 à 30 dans l'exemple ci-dessus) à la requête. Nous considérons le niveau QoA demandé comme un minimum. Si l'utilisateur atteint un niveau plus élevé, nous l'acceptons et informons l'application dans la réponse.

Exemple du "SAML-Response"