Il riutilizzo di un’asserzione consiste nel riutilizzare un’asserzione di autenticazione precedentemente valida, come una risposta SAML, quando il sistema ricevente dovrebbe rifiutarla. Le asserzioni vengono emesse da un provider di identità e utilizzate da un service provider per stabilire l’identità di un utente. Le difese contro il replay verificano in genere che un’asserzione sia destinata al servizio, rientri nel periodo di validità e non sia già stata utilizzata.
In un attacco, chi ottiene un’asserzione valida potrebbe provare a presentarla di nuovo per ottenere l’accesso senza effettuare un nuovo login. Una convalida debole o l’assenza di controlli sul riutilizzo possono trasformare un confine di accesso federato in un’elusione dell’autenticazione. I difensori dovrebbero applicare gli aggiornamenti del fornitore, convalidare le firme delle asserzioni e i vincoli relativi al destinatario e al tempo, tenere traccia degli identificatori delle asserzioni per impedirne il riutilizzo e controllare i log di autenticazione per individuare accessi ripetuti sospetti. Una vulnerabilità di tipo replay è una possibile modalità di errore; non si dovrebbe presumere che sia presente in un determinato prodotto senza averne conferma.