YD/T 2094.5-2010 标准解读

断言签名算法必须支持SHA-256或更强哈希算法，禁止使用MD5、SHA-1
断言有效时间窗口不得超过5分钟，从NotBefore到NotOnOrAfter时间差≤300秒
响应消息必须包含AssertionID，且长度为32至128字符的URL安全Base64编码字符串
断言中包含的AttributeStatement元素数量不得超过50个，单个属性值长度≤2048字节
身份提供者（IdP）与服务提供者（SP）间通信必须使用TLS 1.2或更高版本，密钥交换算法支持ECDHE-RSA、ECDHE-ECDSA
断言签名证书公钥长度不得低于2048位RSA或256位ECC
XML签名必须使用EnvelopedSignature方式，且签名对象必须包含Assertion根元素
断言中Subject元素的NameID格式必须为urn:oasis:names:tc:SAML:2.0:nameid-format:transient或persistent，禁止使用email或unspecified
响应消息的IssueInstant时间戳与本地系统时间偏差不得超过±5秒
断言重放攻击检测窗口必须设置为≤120秒，且必须记录并比对已处理的AssertionID

断言有效时间窗口：指Assertion元素中NotBefore与NotOnOrAfter属性定义的时间跨度，计算以UTC时间为准，采用ISO 8601格式，需进行时区标准化处理
AssertionID长度：基于URL安全Base64编码（RFC 4648）生成，不含填充字符“=”，长度范围经编码后必须在32至128字符间，超出视为格式错误
AttributeStatement数量：统计Assertion中所有AttributeStatement子元素总数，每个AttributeStatement包含一个或多个Attribute元素，总数上限为50，超限则拒绝处理
公钥长度：证书公钥部分的模数长度，RSA密钥以位为单位计量，ECC密钥以曲线阶数为准，必须通过X.509证书链验证
时间戳偏差：以SP本地系统时钟为基准，对比IssueInstant字段解析后的时间值，偏差超过±5秒即判定为时间同步失效
NameID格式：必须严格匹配SAML 2.0规范中定义的命名空间URI，格式不匹配或未声明命名空间视为无效标识
重放检测窗口：系统需维护一个已接收AssertionID的哈希缓存，缓存有效期为120秒，超期自动清除，重复ID在窗口内出现即触发重放告警

指标名称	合格区间	临界值	不合格判定标准
断言有效时间窗口	0s 至 300s	300s	＞300s 或 NotBefore ≥ NotOnOrAfter
AssertionID长度	32–128字符	31字符 / 129字符	＜32字符或＞128字符，或含非URL安全字符
AttributeStatement数量	0–50	51	＞50个AttributeStatement元素
公钥长度	≥2048位RSA 或 ≥256位ECC	2047位RSA / 255位ECC	密钥长度不足或使用非标准曲线
时间戳偏差	-5s 至 +5s	-5.1s / +5.1s	偏差绝对值＞5秒
重放检测窗口	≤120s	121s	缓存有效期＞120秒或未启用ID去重机制
TLS版本	TLS 1.2–1.3	TLS 1.1	协商使用TLS 1.1或以下版本

部署自动化校验模块，对所有入站SAML响应进行断言时间窗口、AssertionID长度、AttributeStatement数量的实时正则匹配与计数验证
建立证书公钥长度监控清单，定期轮询IdP与SP端证书，使用OpenSSL命令行工具提取modulus位长并记录至配置管理数据库（CMDB）
系统时钟同步必须依赖NTP服务，配置NTP偏移阈值≤1秒，日志记录所有时间戳偏差事件，偏差≥3秒触发告警并暂停断言处理
实现AssertionID哈希缓存机制，使用Redis或内存数据库存储已处理ID，设置TTL为120秒，配合LRU淘汰策略确保缓存效率
对TLS握手过程进行流量镜像分析，捕获ClientHello与ServerHello中的cipher_suite字段，过滤包含RC4、DES、3DES等弱算法的连接
每日生成参数合规性报表，统计超限事件频次、来源IP、断言类型，异常事件需在24小时内完成根因分析并更新校验规则
在测试环境中模拟边界值输入（如300.1秒有效期、51个AttributeStatement），验证系统拒绝机制的准确性与日志完整性
定期执行参数审计，使用XML Schema验证器校验断言结构，确保签名方式、NameID格式、命名空间声明符合YD/T 2094.5-2010第5章规范

标准解读不等同于原文，以标准原文为准

更多解读