<div dir="ltr"><div class="gmail_quote"><div dir="ltr"><div dir="ltr">Hi Team,<div><br></div><div>We have applications that supports FIPS compliance, and runs on Java11, Spring Security 5.8, OpenSAML 3.4.6 as of today.</div><div><br></div><div>While working on migration to Java17 and relevant library upgrades (Spring 6, OpenSAML 4 and others), we realised the issue below with FIPS mode and OpenSAML.</div><div><br></div><div><ul><li>Spring Security 6 has baselined the OpenSAML version to 4.x as the OpenSAML 3.x (which we currently have) is already EOL.</li><ul><li><a href="https://docs.spring.io/spring-security/reference/5.8/migration/servlet/saml2.html" target="_blank">https://docs.spring.io/spring-security/reference/5.8/migration/servlet/saml2.html</a><br><br></li></ul><li>However, OpenSAML 4.x cannot work with bc-fips due to some hard dependencies from Bouncycastle's non-FIPS jar (bcprov-jdk<nn>on). (Note: I understand that OpenSAML 3.x never claimed FIPS compliance, however it did not break when only bc-fips JCE provider was loaded, that is broken with opensaml 4.x). The discussions here are open ended with no resolution.</li><ul><li><a href="https://groups.google.com/g/pac4j-dev/c/jDeEN-mUwd0" target="_blank">https://groups.google.com/g/pac4j-dev/c/jDeEN-mUwd0</a></li><li><a href="https://github.com/elastic/elasticsearch/issues/71983" target="_blank">https://github.com/elastic/elasticsearch/issues/71983</a><br><br></li></ul><li>The responses in these forums about FIPS support are not assuring either.</li><ul><li><a href="https://shibboleth.atlassian.net/wiki/spaces/DEV/pages/1159627167/FIPS" target="_blank">https://shibboleth.atlassian.net/wiki/spaces/DEV/pages/1159627167/FIPS</a></li><li><a href="https://shibboleth.atlassian.net/browse/OSJ-339" target="_blank">https://shibboleth.atlassian.net/browse/OSJ-339</a></li></ul></ul><div>This issue now has below consequences on applications that need to support FIPS compliance</div></div><div><ul><li>Cannot upgrade to OpenSAML 4.x, hence upgrade to Spring 6 is blocked.</li><li>Upgrades of multiple libraries to newer versions requiring Jakarta EE 9+ spec are blocked because Spring 6 upgrade is blocked.</li></ul><div>Could you please look into this issue and prioritise the fix as it would have larger implications on the consuming applications. Any guidance on possible workarounds, if any, would be helpful as a temporary measure.</div></div><div><br></div><div>We are open to contributing towards the fix if that helps in a meaningful manner.</div><div><br></div><div>Regards,<br>Rama</div><div><br></div></div></div>
</div></div>