Un'asserzione SAML è un token di sicurezza firmato che un identity provider invia a un service provider durante l'accesso singolo. Contiene attestazioni sull'utente, come identità, ruoli, appartenenza a gruppi e dettagli della sessione. Il service provider si fida dell'asserzione solo dopo aver verificato la firma e altre condizioni, come issuer, audience, tempo di scadenza e destinazione.
Questo è importante perché l'asserzione è il ponte tra autenticazione e accesso. Se un aggressore riesce a falsificare, modificare, riutilizzare o indurre un sistema ad accettare una cattiva asserzione, può aggirare l'accesso e ereditare i privilegi di un altro utente. I difensori proteggono questo percorso convalidando correttamente le firme crittografiche, applicando impostazioni di fiducia rigorose, rifiutando asserzioni scadute o non corrispondenti e controllando i log SSO alla ricerca di associazioni di ruoli o modelli di accesso insoliti.