<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><br>
<br>
The question comes down to what the point of requiring signed authentication requests is in the first place. The only reason to have signed authentication requests is to allow you to verify the source of the request. IdP-initiated SSO requests can&#39;t have their source verified. Allowing unsolicited authentication when signing is required just seems nonsensical.<br>
<br></blockquote><div><br></div><div>How does not having a signature for unsolicited sso (aka IdP Initiated SSO) hurt from a security perspective?  All you are doing is verifying the source of the link.  If you go to <a href="http://my.bad.site.com">my.bad.site.com</a> and I have a backchannel request (say an iframe or an ajax request) that starts the SSO process in the background (assuming of course the browser allows it, which in most cases it wont) what is the difference between that initial URL being for the SP that then sends a redirect to the idp with a signed request?  Either the XSS rules in the browser will stop both cases or will let both cases through and in either scenario the IdP will present the user with the login process.  What security are you buying?</div><div><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
If you don&#39;t care how an authentication request was initiated, then you shouldn&#39;t be requiring request signing.<br>
<br>
What&#39;s the use case (other than broken implementations) where it&#39;s relevant to require signing of authentication requests but it&#39;s okay to initiate IdP SSO from completely unknown sources?<br></blockquote><div><br></div><div>As Scott states in his response, the use case of overriding metadata is another use cases where signing the request is needed.  If you are using all the defaults that are in your (presumably already signed) metadata, where is there any additional securityby requiring a signed authnrequest during idp initiated sso?  Now if you allow the defaults to be overridden (ie a new destination to generate a DDoS attack) from an http request parameter that isn&#39;t signed, you have a problem (and yes some vendors will let you do this).</div><div> </div><div><br></div><div>PS: I do plan on creating that feature request, just haven&#39;t gotten there yet.</div><div><br></div><div>Thanks</div><div>Marc</div></div></div></div>