Vereiste instellingen

Voor een federatie met de Identity Provider van de Universiteit gelden aanvullende instellingen.

Identity Provider

De response en assertion worden ondertekend.

Voor de assertion wordt gebruik gemaakt van een SHA256 hashing algoritme.

Service Provider

De elementen: AuthnRequestsSigned en WantAssertionsSigned bevatten enkel de waarde: true.

De certificaten voor ‘signing’ en ‘encryption’ zijn door een door de Universiteit vertrouwde Certificate authority (CA)* uitgegeven of het betreft een zelf uitgegeven certificaat wat voldoet aan de volgende eisen:

Publieke sleutel algoritme (Algorithm): RSA of ECDSA
Sleutelgrootte (Key Size):
- RSA: minimaal 2048, advies 3072 of hoger
- ECDSA: minimaal 224, advies 256 of hoger
Handtekeningsalgoritme (Signature Algoritme): minimaal SHA-256, advies SHA-384 of hoger
Geldigheidsduur: heden tot maximaal 5 jaar in de toekomst
Algemene naam (Common Name): bevat de naam of ‘volledig gekwalificeerde domeinnaam’ (FQDN) van de applicatie. De FQDN is te herleiden naar minimaal één AssertionConsumerServiceURL (ACS) zoals vermeld in de metadata.
Gebruik (Key Usage): Digital Signature

De Service Provider ondersteunt en maakt gebruik van Single Logout (SLO) indien deze kritiek scoort op de BIV-classificatie**. Voor overige Service Providers is dit een dringende aanbeveling.

Indien de Service Provider gebruikmaakt van SLO, dient de implementatie conform OASIS SAML2.0 specificatie te zijn ingericht***. Deze is te vinden op https://docs.oasis-open.org/security/saml/Post2.0/sstc-saml-tech-overview-2.0-cd-02.pdf en https://docs.oasis-open.org/security/saml/v2.0/saml-profiles-2.0-os.pdf

* De Universiteit vertrouwt de volgende CA's inclusief een tweetal eigen CA's welk in pem formaat aan deze pagina zijn toegevoegd.

** De BIV classificatie wordt door de diensteigenaar uitgevoerd, in samenwerking met Informatiebeveiliging: https://intranet.uu.nl/security/informatiebeveiliging-gegevensclassificatie

*** Dit geldt voor logouts die worden geïnitieerd door zowel de Service Provider als de Identity Provider.