AI 요약
Trail of Bits 블로그가 SAML을 "잘못된 설계의 결정체"로 규정하며 폐기를 주장하는 글을 게재했다. SAML은 2002년 OASIS SSTC가 S2ML, AuthXML, X-TASS, ITML 등 4개 XML 기반 보안 프로토콜을 하나로 합치며 탄생했고, 이 과정에서 복잡성이 누적됐다. 저자는 XML 서명 검증의 신뢰성 문제와 libxmlsec 의존 구조를 핵심 취약점으로 지적하며 OpenID Connect(OIDC)로의 전환을 권고한다.
핵심 포인트
- SAML은 2002년 OASIS SSTC가 Netegrity·Securant·VeriSign·Jamcracker의 4개 프로토콜을 통합해 탄생
- 2000년대 SSO 산업 성장과 함께 CAS(2002, 예일), Shibboleth IdP(2003, Internet2), ADFS(2003, MS), simpleSAMLphp(2007, Uninett) 등이 SAML 지원
- Thomas Ptacek(2023)은 "XML 서명 검증이 신뢰할 수 있다고 가정할 때만 작동하며, 대부분 구현이 아무도 읽지 않는 libxmlsec를 래핑한다"고 비판
- 위원회 중심 설계(kitchen-sink)로 인해 프로토콜 복잡성이 구조적으로 누적
향후 전망
- 보안 연구 커뮤니티의 지속적 비판 속에 SAML 지원 중단(deprecation) 및 OIDC 전환 논의 확대 전망
- 기업 IT 부서의 레거시 SSO 인프라 현대화 압력 증가