Ein Claim ( für Behauptung) ist eine Aussage über ein Subjekt, welche von einer anderen Anwendungssoftware über eine Assertion zugesichert wird. Der Begriff wird hauptsächlich in einigen Standards der Informationssicherheit, insbesondere für Authentifizierung oder Autorisierung, verwendet. Ein Beispiel für einen Claim ist die Zusicherung, dass ein angemeldeter Benutzer einen bestimmten Vor- und Nachnamen hat und an einer bestimmten Adresse wohnt (und somit mit einer bestimmten realen Person übereinstimmt).

Verwendung Die folgenden internationalen Standards in der Informationssicherheit verwenden den Begriff Claim.

SAML 2.0 Eine SAML Assertion beinhaltet immer einen oder mehrere Claims über ein Subjekt. Im Security Assertion Markup Language (SAML) Standard kann eine Anwendung, genannt Service Provider, zum Beispiel die Authentifizierung eines Benutzers an eine andere Anwendung, genannt Identity Provider, delegieren. Dabei antwortet der Identity Provider nach erfolgreicher Authentifizierung des Benutzers dem Service Provider mit der Zusicherung, einer sogenannten SAML Assertion, dass der Claim des Benutzers eine bestimmte Person zu sein, erfolgreich verifiziert wurde.

OpenID Im Rahmen des OpenID Connect Protokolls kann eine Anwendung nach erfolgreicher Authentifizierung eines Benutzers durch eine andere Anwendung, genannt OpenID Provider, ein ID Token von dem Provider abfragen, welches Claims über den authentifizierten Benutzer beinhaltet. Das ID Token spezifiziert in der Regel Attribute des authentifizierten Benutzers, wie z. B. Name oder E-Mail-Adresse, und Details zu dem Authentifizierungsverfahren, z. B. Authentifizierung mit Hilfe einer User-ID und eines Passworts.

JSON Web Token Ein JSON Web Token (JWT) ist Datenformat, welches den Austausch von Claims über ein Subjekt zwischen einem Identity Provider und einem Service Provider erlaubt. Ähnlich wie bei SAML 2.0 und OpenID Connect, beinhaltet ein JWT einzelne Zusicherungen über einen Benutzer oder die Authentifizierung des Benutzers. Der JWT Standard spezifiziert im Gegensatz zu den anderen Standards jedoch nur das Datenformat des Tokens und nicht wie das Token angefordert oder ausgetauscht wird.

Einzelnachweise

Kategorie:Authentifizierungstechnik Kategorie:IT-Sicherheit