<div dir="ltr">Hello-<div><br></div><div>How is everyone doing?<br><div><br></div><div>Looking for some help with an issue.  Every once in a while, we see over 30-40k failed authn requests come through Shib.  When it hits Kerberos, the username it tries to authn is root.  We checked with the actual user where these requests are coming from.  They say they authn to Shib, hit a shib protected page, leave the computer to go to class, and when they come back, they say it&#39;s in some sort of weird loop.  Closing the browser and going back in clears it up.  We haven&#39;t reproduced the issue yet.</div><div><br></div><div>Here are some sample entries from the IDP Process Log:</div><div><br></div><div><div><div>14:34:43.486 - INFO [Shibboleth-Access:73] - 20150409T183443Z|10.38.26.21|sso.brown.edu:443|/profile/SAML2/Redirect/SSO| - [] - [] - [10.38.26.21]</div><div>14:34:43.487 - INFO [org.opensaml.common.binding.security.SAMLProtocolMessageXMLSignatureSecurityPolicyRule:100] - SAML protocol message was not signe</div><div>d, skipping XML signature processing - [] - [] - [10.38.26.21]</div><div>14:34:43.759 - INFO [Shibboleth-Access:73] - 20150409T183443Z|10.38.26.21|sso.brown.edu:443|/profile/SAML2/Redirect/SSO| - [] - [] - [10.38.26.21]</div><div>14:34:43.761 - INFO [org.opensaml.common.binding.security.SAMLProtocolMessageXMLSignatureSecurityPolicyRule:100] - SAML protocol message was not signe</div><div>d, skipping XML signature processing - [] - [] - [10.38.26.21]</div><div>14:34:43.963 - INFO [Shibboleth-Access:73] - 20150409T183443Z|10.38.26.21|sso.brown.edu:443|/profile/SAML2/Redirect/SSO| - [] - [] - [10.38.26.21]</div><div>14:34:43.965 - INFO [org.opensaml.common.binding.security.SAMLProtocolMessageXMLSignatureSecurityPolicyRule:100] - SAML protocol message was not signe</div><div>d, skipping XML signature processing - [] - [] - [10.38.26.21]</div><div>14:34:44.895 - ERROR [edu.internet2.middleware.shibboleth.idp.authn.AuthenticationEngine:618] - No user identified by login handler. - [] - [] - [10.3</div><div>8.26.21]</div><div>14:34:44.896 - ERROR [edu.internet2.middleware.shibboleth.idp.authn.AuthenticationEngine:563] - Authentication failed with the error: - [] - [] - [10.</div><div>38.26.21]</div><div>14:34:44.914 - ERROR [edu.internet2.middleware.shibboleth.idp.authn.AuthenticationEngine:618] - No user identified by login handler. - [] - [] - [10.3</div><div>8.26.21]</div><div>14:34:44.915 - ERROR [edu.internet2.middleware.shibboleth.idp.authn.AuthenticationEngine:563] - Authentication failed with the error: - [] - [] - [10.</div><div>38.26.21]</div><div>14:34:45.091 - INFO [Shibboleth-Access:73] - 20150409T183445Z|10.38.26.21|sso.brown.edu:443|/profile/SAML2/Redirect/SSO| - [] - [] - [10.38.26.21]</div><div>14:34:45.111 - INFO [Shibboleth-Audit:1028] - 20150409T183445Z|urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect|_491d7cd6233bf948246026685e57d1fb|ht</div><div>tps://<a href="http://library.brown.edu/shibboleth-sp|urn:mace:shibboleth:2.0:profiles:saml2:sso|https://sso.brown.edu/idp/shibboleth|urn:oasis:names:tc:SAML:2.0:bind">library.brown.edu/shibboleth-sp|urn:mace:shibboleth:2.0:profiles:saml2:sso|https://sso.brown.edu/idp/shibboleth|urn:oasis:names:tc:SAML:2.0:bind</a></div><div>ings:HTTP-POST|_426f330e53d141607efd0eb0910feb8e|||||| - [] - [] - [10.38.26.21]</div><div>14:34:45.113 - INFO [Shibboleth-Access:73] - 20150409T183445Z|10.38.26.21|sso.brown.edu:443|/profile/SAML2/Redirect/SSO| - [] - [] - [10.38.26.21]</div><div>14:34:45.113 - WARN [edu.internet2.middleware.shibboleth.idp.profile.saml2.SSOProfileHandler:400] - Error decoding authentication request message - []</div><div> - [] - [10.38.26.21]</div><div>14</div></div></div><div><br></div><div>Only thing I see in the SP logs when the flood of authn started is:</div><div><br></div><div><div>2015-04-09 14:33:52 INFO Shibboleth.Listener [16491]: detected socket closure, shutting down worker thread</div><div>2015-04-09 14:34:08 INFO Shibboleth.Listener [16471]: detected socket closure, shutting down worker thread2015-04-09 14:34:09 INFO Shibboleth.Listener [16505]: detected socket closure, shutting down worker thread</div><div>2015-04-09 14:34:10 INFO Shibboleth.Listener [16504]: detected socket closure, shutting down worker thread2015-04-09 14:34:13 INFO Shibboleth.Listener [16482]: detected socket closure, shutting down worker thread</div></div><div><br></div><div>The htaccess file is</div><div><br></div><div><div>AuthType shibboleth</div><div>ShibRequireSession on</div><div>require Shibboleth-isMemberOf Community</div></div><div><br></div><div>Has anyone seen this sort of behavior?  The shib protected resource is just a PDF file.  <br></div></div><div><br></div><div>Thanks,</div><div><br></div><div>Paulo</div><div>Brown University</div><div><br></div><div><br></div></div>