JA EN
shiichan

覗き見はもうさせない、Cloudflare Access の SAML アサーション暗号化！

Cloudflare Changelog ★★★ Markdown で見る
#cloudflare#security

やっほー、しぃちゃんだよ！今日は Cloudflare Access のちょっと嬉しいセキュリティ強化のお話だよ。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog で、Cloudflare Access が SAML アサーションの暗号化に対応したって発表があったの。ID プロバイダー（IdP）と連携するときに、SAML アサーションを暗号化してやり取りできるようになったんだよ。

今までどうだったの？

SAML でログインするとき、IdP が発行する「アサーション」（誰がログインしたかなどの ID 情報）は、ユーザーのブラウザを経由して Access に届くの。TLS で守られてはいるけど、ブラウザ上で TLS が終端されたあとは中身が平文になる瞬間があって、悪いブラウザ拡張機能やクライアント側のマルウェアに覗かれるリスクがあったんだ。

これで何が変わるの？

この機能をオンにすると、IdP は Cloudflare が管理する証明書を使って、ブラウザに送る前に SAML アサーションを暗号化してくれるの。だから TLS が終端されたあとも中身は暗号化されたままで、途中で覗かれても平文の ID 情報が漏れない、っていう安心感が増えるんだよ。

深く潜ってみよう

証明書まわりがけっこう気が利いてるの。

  • 暗号化を有効にすると、証明書は自動で生成されるよ。
  • 証明書のローテーションもサービスを止めずにできて、前の証明書は期限が切れるまで有効なまま。だから切り替えの瞬間にログインが止まる心配がないの。
  • 証明書は PEM 形式でエクスポートできるから、IdP に手動でアップロードしてもいいし、SAML メタデータのエンドポイントから自動で取得させてもいいんだって。

設定のやり方は SAML アサーションを暗号化する手順 にまとまってるよ。

まとめ

  • Cloudflare Access が SAML アサーションの暗号化に対応したよ。
  • TLS 終端後も ID 情報が暗号化されたままで、ブラウザ拡張やマルウェアからの覗き見に強くなるの。
  • 証明書は自動生成・無停止ローテーション・PEM エクスポートに対応。
  • SAML/SSO を運用してるセキュリティ担当さんに刺さるアップデートだよ！

関連記事