# SAML, আৱৰণৰ তলত: আখৰৰ ভিতৰত স্বাক্ষৰ

Published: 2026-09-24

SAML-এ আপোনাক প্ৰায় প্ৰতিটো কৰ্ম এপলৈকে লগ ইন কৰে, আৰু ইয়াৰ স্বাক্ষৰ ই স্বাক্ষৰ কৰা XML-ৰ ভিতৰত থাকে। আৱৰণৰ তলত: এপ, ব্ৰাউজাৰ আৰু পৰিচয় প্ৰদানকাৰীৰ মাজত ল'গইন নৃত্য, এটা এচাৰচন কেনেকুৱা দেখায়, কিয় কেননিকেলাইজেচনক প্ৰতিটো বাইটত সন্মত হ'ব লাগে, আৰু কিয় একেটা বাগ শ্ৰেণী 2012-ৰ পৰা 2025-লৈকে ঘূৰি আহে। ট্ৰেইল অৱ বিটছৰ "SAML: বেয়া ডিজাইনৰ এটা ফ্ৰেক্টেল" (হেকাৰ নিউজত 312 পইণ্ট) দ্বাৰা প্ৰেৰিত।

Canonical: https://thedailydiff.dev/as/video/2026-09-24-saml-under-the-hood/

## এই ভিডিঅ’টোত কি আছে

- SAML: ল'গইন যি নিজকে ভিতৰৰ পৰা স্বাক্ষৰ কৰে
- 2002: চাৰিটা XML ফৰ্মেট, এটা সমিতি, এটা সমগ্ৰ উদ্যোগ
- ল'গইন নৃত্য: এপ → পৰিচয় প্ৰদানকাৰী → আপোনাৰ ব্ৰাউজাৰৰ মাজেৰে ঘূৰি
- এচাৰচন: স্বাক্ষৰ ই স্বাক্ষৰ কৰা বস্তুৰ ভিতৰত থাকে
- কেননিকেলাইজেচন: প্ৰতিটো বাইটত সন্মত হওক, নহ'লে কোনেও লগ ইন নকৰিব

## অধ্যায়সমূহ

- 0:00 SAML: ল'গইন যি নিজকে ভিতৰৰ পৰা স্বাক্ষৰ কৰে
- 0:34 2002: চাৰিটা XML ফৰ্মেট, এটা সমিতি, এটা সমগ্ৰ উদ্যোগ
- 0:46 ল'গইন নৃত্য: এপ → পৰিচয় প্ৰদানকাৰী → আপোনাৰ ব্ৰাউজাৰৰ মাজেৰে ঘূৰি
- 0:59 এচাৰচন: স্বাক্ষৰ ই স্বাক্ষৰ কৰা বস্তুৰ ভিতৰত থাকে
- 1:10 কেননিকেলাইজেচন: প্ৰতিটো বাইটত সন্মত হওক, নহ'লে কোনেও লগ ইন নকৰিব
- 1:32 2012: পৰীক্ষক আৰু পাঠক দুটা ভিন্ন উপাদানলৈ চায়
- 1:51 2018 আৰু 2025: দুটা পাৰ্ছাৰ, দুটা ভিন্ন উত্তৰ
- 2:08 কিয় ই ভঙি থাকে: বেয়া ডিজাইনৰ এটা ফ্ৰেক্টেল
- 2:27 সোমবাৰ: OIDC প্ৰথমে, এটা ৰক্ষণাবেক্ষণ কৰা লাইব্ৰেৰী, কঠোৰ আকাৰ
- 2:43 সিদ্ধান্ত, আৱৰণৰ তলত: REVERT

## অনূদিত ট্ৰান্সক্ৰিপ্ট

মূল ইংৰাজী বৰ্ণনাৰ পৰা অনুবাদ কৰা হৈছে। উপলব্ধ অডিঅ’ আৰু কেপচন ইউটিউবে নিয়ন্ত্ৰণ কৰে।

### SAML: ল'গইন যি নিজকে ভিতৰৰ পৰা স্বাক্ষৰ কৰে

0:00 Saml হৈছে XML যিয়ে আপোনাৰ প্ৰায় প্ৰতিটো কৰ্ম এপলৈকে আপোনাক লগ ইন কৰে, আৰু ইয়াৰ স্বাক্ষৰ ই স্বাক্ষৰ কৰা নথিৰ ভিতৰত থাকে, যেনেকৈ এজন নোটৰীয়ে তেওঁ চীল কৰা খামৰ ভিতৰত তেওঁৰ মোহৰ মাৰি দিয়ে। এখন সমিতিয়ে ইয়াক লিখাৰ দহ বছৰৰ পিছত, গৱেষকসকলে চৌধ্যটা Saml ফ্ৰেমৱৰ্ক পৰীক্ষা কৰিলে। এঘাৰটা বিফল হ'ল। আৰু এই সপ্তাহত ট্ৰেইল অৱ বিটছৰ এটা পোষ্টে ইয়াক বেয়া ডিজাইনৰ ফ্ৰেক্টেল বুলি অভিহিত কৰিছিল হেকাৰ নিউজৰ প্ৰথম পৃষ্ঠাত আঘাত কৰিলে। তিনি মিনিটত: ল'গইন নৃত্য কেনেদৰে কাম কৰে, স্বাক্ষৰ ক'ত লুকাই থাকে,

0:27 আৰু কিয় সকলোৱে সন্মত হোৱা সমাধানটো এটা ভিন্ন প্ৰটোকল। এইটো The Daily Diff, আৱৰণৰ তলত।

### 2002: চাৰিটা XML ফৰ্মেট, এটা সমিতি, এটা সমগ্ৰ উদ্যোগ

0:34 দুহেজাৰ দুই। অয়েছিছৰ এটা সুৰক্ষা সমিতিয়ে চাৰিটা বিক্ৰেতা XML ফৰ্মেটক এটাতে একত্ৰিত কৰে। বিশ্ববিদ্যালয়সমূহে ইয়াক প্ৰথমে গ্ৰহণ কৰে, তাৰ পিছত Okta-ই ইয়াৰ ওপৰত এটা কোম্পানী নিৰ্মাণ কৰে, সৰ্বাধিক দ্ৰুততাৰে এটা সমিতিৰ নথিপত্ৰ ৰাজস্বলৈ ৰূপান্তৰিত হৈছিল। আপুনি এপটো খোলে।

### ল'গইন নৃত্য: এপ → পৰিচয় প্ৰদানকাৰী → আপোনাৰ ব্ৰাউজাৰৰ মাজেৰে ঘূৰি

0:46 ইয়াৰ আপুনি কোন তাৰ কোনো ধাৰণা নাই, গতিকে ই আপোনাৰ ব্ৰাউজাৰক পৰিচয় প্ৰদানকাৰীলৈ ঘূৰাই দিয়ে, ধৰক আপোনাৰ কোম্পানীৰ Okta। আপুনি তাত লগ ইন কৰে। Okta-ই আপোনাৰ ব্ৰাউজাৰক এটা স্বাক্ষৰিত XML নথি দিয়ে যিয়ে আপুনি কোন তাক কয়, আৰু ব্ৰাউজাৰে ইয়াক ঘূৰাই পোষ্ট কৰে।

### এচাৰচন: স্বাক্ষৰ ই স্বাক্ষৰ কৰা বস্তুৰ ভিতৰত থাকে

0:59 সেই নথিখন হৈছে এচাৰচন। ই ব্যৱহাৰকাৰীৰ নাম দিয়ে, আৰু স্বাক্ষৰ ইয়াৰ ভিতৰত থাকে, ইয়াৰ আইডিৰ দ্বাৰা এচাৰচনলৈ ঘূৰি যায়। আৰু গোটেই বস্তুটো আপোনাৰ ব্ৰাউজাৰৰ মাজেৰে চলে, অৰ্থাৎ, ব্যৱহাৰকাৰীৰ মাজেৰে। ইয়াক পৰীক্ষা কৰিবলৈ, এপটোৱে

### কেননিকেলাইজেচন: প্ৰতিটো বাইটত সন্মত হওক, নহ'লে কোনেও লগ ইন নকৰিব

1:11 স্বাক্ষৰিত হোৱা সঠিক বাইটবোৰ পুনৰ নিৰ্মাণ কৰে। ই স্বাক্ষৰটো কাটি উলিয়ায়, হোৱাইটস্পেচ আৰু বৈশিষ্ট্যৰ ক্ৰমক সাধাৰণ কৰে, আৰু ফলাফলটো হেশ কৰে। সেইটো কেননিকেলাইজেচন, আৰু যদি দুয়োটা পক্ষ এটা বাইটত ভিন্নমত হয়, কোনেও লগ ইন নকৰিব। এটা JSON ৱেব টোকেন-এ ইয়াক বেলেগ ধৰণে কৰে। হেডাৰ, পেলোড আৰু স্বাক্ষৰ মাজত বিন্দুৰে সৈতে কাষে কাষে থাকে। প্ৰথমে কাটি উলিয়াবলৈ একো নাই।

### 2012: পৰীক্ষক আৰু পাঠক দুটা ভিন্ন উপাদানলৈ চায়

1:32 এইটোৱেই ফাট। স্বাক্ষৰ পৰীক্ষা কৰা কোড আৰু ব্যৱহাৰকাৰীৰ নাম পঢ়া কোড প্ৰায়ে দুটা ভিন্ন অংশ। দুহেজাৰ বাৰত, On Breaking Saml নামৰ এখন পত্ৰই দেখুৱাইছিল যে আপুনি স্বাক্ষৰিত এচাৰচনটোক স্থানান্তৰিত কৰিব পাৰে য'ত পাঠকে ইয়াক উপেক্ষা কৰে, আৰু দ্বিতীয় এটা ক'ত ইয়াক চায়। Salesforce আৰু Shibboleth আছিল সেই এঘাৰটাৰ ভিতৰত যিবোৰে ইয়াত বিফল হৈছিল। দুহেজাৰ ওঠৰত, Duo-এ দেখুৱাইছিল যে এটা ব্যৱহাৰকাৰীৰ নামৰ ভিতৰত এটা মন্তব্যই কিছুমান

### 2018 আৰু 2025: দুটা পাৰ্ছাৰ, দুটা ভিন্ন উত্তৰ

1:55 লাইব্ৰেৰীৰ নামৰ আধা অংশহে পঢ়িব পাৰে, আনহাতে স্বাক্ষৰটো এতিয়াও পৰীক্ষা কৰা হয়। দুহেজাৰ পঁচিশত, GitHub-এ ৰুবি Saml-ৰ ভিতৰত দুটা XML পাৰ্ছাৰ বিচাৰি পালে একেটা নথিৰ বিষয়ে ভিন্নমত পোষণ কৰিছিল। একেটা বাগ, নতুন দশক। Trail of Bits-এ ইয়াক এটা ফ্ৰেক্টেল বুলি কয়, কাৰণ আপুনি জুম কৰা প্ৰতিটো স্তৰতে

### কিয় ই ভঙি থাকে: বেয়া ডিজাইনৰ এটা ফ্ৰেক্টেল

2:12 একেটা ত্ৰুটি আছে। ই XML-ৰ ওপৰত নিৰ্মিত, স্বাক্ষৰটো আৱৰিত, আৰু প্ৰকৃত ল'গইনসমূহে স্পেচিফিকেচনৰ হয়তো দহ শতাংশ ব্যৱহাৰ কৰে। আৰু হেকাৰ নিউজত শীৰ্ষ উত্তৰটো ক্ৰেতাৰ পৰা আহে। যদি আপোনাৰ Saml সমৰ্থন নাই, তেন্তে মই এটা সামগ্ৰী বিচাৰি পাম যিয়ে কৰে। দুয়োটাই সত্য, যিটোৱেই সমস্যা। গতিকে, সোমবাৰ। OpenID Connect প্ৰথমে SHIP IT, Fly আৰু Tailscale-এ

### সোমবাৰ: OIDC প্ৰথমে, এটা ৰক্ষণাবেক্ষণ কৰা লাইব্ৰেৰী, কঠোৰ আকাৰ

2:31 Saml অবিহনে উদ্যোগসমূহক বিক্ৰী কৰে। যদি এজন গ্ৰাহকে ইয়াক বাধ্য কৰায়, তেন্তে এটা ৰক্ষণাবেক্ষণ কৰা লাইব্ৰেৰী ব্যৱহাৰ কৰক, ইয়াক পেচ কৰক, আৰু Okta বা Google-এ পঠোৱাৰ দৰে নোহোৱা বাৰ্তাবোৰ প্ৰত্যাখ্যান কৰক। কেতিয়াও আপোনাৰ নিজা স্বাক্ষৰ পৰীক্ষা নিলিখিব।

### সিদ্ধান্ত, আৱৰণৰ তলত: REVERT

2:43 সিদ্ধান্ত, আৱৰণৰ তলত। REVERT। প্ৰায় পঁচিশ বছৰ, এটা বাগ শ্ৰেণী যি কেতিয়াও নমৰে, আৰু সকলোৱে সন্মত হোৱা সমাধানটো এটা ভিন্ন প্ৰটোকল। যোৱা শনিবাৰে মই পাছকীজ খুলি চাইছিলোঁ, গতিকে মন্তব্যত মোক কওক কি আগলৈ খুলি চাব লাগে। আৰু সেইটোৱেই আজিৰ The Daily Diff। মই Axrisi-ৰ Niko। দায়িত্বশীলভাৱে একত্ৰিত কৰক।

## উৎসসমূহ

- [Trail of Bits, "SAML: A fractal of bad design" (Matt Schwager, Sep 21, 2026)](https://blog.trailofbits.com/2026/09/21/saml-a-fractal-of-bad-design/) — blog.trailofbits.com
- [Hacker News thread](https://news.ycombinator.com/item?id=49806335) — news.ycombinator.com
- [Somorovsky et al., "On Breaking SAML: Be Whoever You Want to Be", USENIX Security 2012](https://www.usenix.org/conference/usenixsecurity12/technical-sessions/presentation/somorovsky) — www.usenix.org
- [Duo Labs, SAML vulnerabilities affecting multiple implementations (2018): https://duo.com/blog/duo-finds-saml-vulnerabilities-affecting-multiple-implementations · CERT VU#475445](https://www.kb.cert.org/vuls/id/475445) — www.kb.cert.org
- [GitHub Security Lab, "Sign in as anyone: Bypassing SAML SSO authentication with parser differentials" (Mar 12, 2025)](https://github.blog/security/sign-in-as-anyone-bypassing-saml-sso-authentication-with-parser-differentials/) — github.blog