Hi,<div><br></div><div>We are using shibboleth-idp (2.3.5) on jetty (7.5.4) with JAAS. Now our intention is to keep the IDP stateless, but I think there is some session data sharing between the login and assertion generation modules and so requires the session to still be valid for a small duration (abt a second).</div>
<div><br></div><div>Our security team did test around our setup and said that the session was randomness was unacceptable (low entrophy) and was susceptible to prediction attacks, so I wonder if there is something I am doing wrong, so</div>
<div><ul><li>Am I configuring something incorrectly?</li><li>Is is a jetty thing or something in Shibboleth?</li><li>Is this a known issue, is there a JIRA around this?</li></ul><div>Thanks</div></div><div>Anand</div>