<div dir="ltr"><div class="gmail_quote"><div dir="ltr">Hi Team,<br><br>We are working on upgrading some libs in our FIPS compliant application. These include Java 11 to 17, Spring 5.8 to 6, OpenSAML 3.x to 4 and a few others. While doing so, we realised an issue below with FIPS mode and OpenSAML.<br><br>Spring Security 6 includes OpenSAML 4.x only (Ref : <a href="https://docs.spring.io/spring-security/reference/5.8/migration/servlet/saml2.html" target="_blank">https://docs.spring.io/spring-security/reference/5.8/migration/servlet/saml2.html</a>), which cannot work with bc-fips due to some hard dependencies from Bouncycastle's non-FIPS jar (bcprov-jdk<nn>on). Though OpenSAML 3.x did not claim FIPS compliance ever but it used to work with FIPS and got broken with OpenSAML 4.x. Some existing OPEN threads on this :<br>- <a href="https://groups.google.com/g/pac4j-dev/c/jDeEN-mUwd0" target="_blank">https://groups.google.com/g/pac4j-dev/c/jDeEN-mUwd0</a><br>- <a href="https://github.com/elastic/elasticsearch/issues/71983" target="_blank">https://github.com/elastic/elasticsearch/issues/71983</a><div><br>Does not look like, Shibboleth wikis ensure any support on it in future too :<br>- <a href="https://shibboleth.atlassian.net/wiki/spaces/DEV/pages/1159627167/FIPS" target="_blank">https://shibboleth.atlassian.net/wiki/spaces/DEV/pages/1159627167/FIPS</a><br>- <a href="https://shibboleth.atlassian.net/browse/OSJ-339" target="_blank">https://shibboleth.atlassian.net/browse/OSJ-339</a><br>      <br>This leaves lib upgrades in FIPS compliant applications at a dead end, because OpenSAML 4.x upgrade cannot happen, blocking Spring 6 upgrade and hence, upgrade of other libs requiring Jakarta EE 9+ spec (as they require Spring 6)<br><br>Will appreciate if the fix for this can be prioritised. If there is a suitable workaround for this, that may also be helpful as a short-term mitigation measure.<br><br>If needed, we can even contribute towards the fix if that helps in expediting it.<br><br>Regards<br>Ritesh<br></div></div>
</div></div>