この問題に関してサンソ氏はさらに調査を進め、失効したSAMLアサーションだけでなく、そもそもSlack向けに意図されたものでないSAMLアサーションでもログインに成功したとも締めくくっている。彼は、古い失効しているGitHubのアサーションを使用し、その古いアサーションのユーザー名でSlackに直接認証を試したところ、このアサーションはSlack用のアサーションでないにもかかわらず、アプリケーションの認証が完了した。

　サンソ氏は自身のブログに、「もっと具体的に言うと、私は自分のアーカイブの片隅に残していた古い失効したGitHubアサーションを使用した。ちなみにこのアサーションは私のものではない（ユーザー名が“asanso”ではない）、他の人が作成したGitHubアサーションであったが、これをSlackに提示した。そうすると、Slackは問題なしとこれを受け取り、私はSlack向けに意図されたわけではない、古い失効したアサーションのユーザー名を使用してSlackチャンネルにログインできてしまった」

　SAML認証に関しては、ユーザーやID管理プロバイダー、サービス管理プロバイダーなどが関係するが、AudienceRestriction要素というものも存在する。この要素は、基本的には、アサーションの対象として意図されたサービス管理プロバイダー側またはサービス管理プロバイダー側の顧客を識別する。しかし、このSAMLを使って不正アクセス（疑似的な攻撃）をしてみると、サンソ氏は適切な認証プロセスに従わなくてもアカウントにアクセスできた。

ホワイトハットハッカーによるセキュリティの向上

　サンソ氏はSlack社に同社のHackerOne bug bounty submission（バグ発見報奨金プログラム）を通してこの件について通知し、Slack社側からこのSAMLの脆弱性を修正、修復する作業を完了したという返信をすぐに受け取った。彼は、Slack社に同社のシステムのバグを発見し知らせたことで同社から3000ドルの報奨金を与えられた。

　Slack社をはじめとする企業は、このSAMLのConfused Deputyの脆弱性と類似のバグから防御するに当たってホワイトハットハッカーコミュニティーに頼っている。ホワイトハットハッカーとはセキュリティに関する欠陥を調べたり、悪意を持ったハッカーやクラッカーによる不正侵入を監視したりする、いわゆる「善のハッカー」のことである。

　ただ、セキュリティの脆弱性管理プログラムが十分に実施されていても、問題は常に発生するため注意が必要だ。

　サンソ氏のような熟練者ではなくともセキュリティ強化は可能だ。具体的にはホワイトハットハッカーコミュニティーのような情報セキュリティコミュニティーに問題を投稿、拡大することでアプリケーションの欠陥を探させることができる。アプリケーションのテストに別観点を追加するなどしてさらに厚みを持たせると、Confused Deputyなどの脆弱性を発見、修正しやすくなる。