<div dir="ltr"><div class="gmail_extra"><div><div><div dir="ltr"><div><div dir="ltr"><div><div><span style="font-family:arial,helvetica,sans-serif">Hi Peter,</span></div></div><div><span style="font-family:arial,helvetica,sans-serif"><br></span></div><div><span style="font-family:arial,helvetica,sans-serif">I asked as I'm wondering what Shibboleth developers think of the current status of the Metadata Generation Handler.</span></div></div></div></div></div></div>
<br><div class="gmail_quote">On Wed, Oct 21, 2015 at 5:01 PM, Peter Schober <span dir="ltr"><<a href="mailto:peter.schober@univie.ac.at" target="_blank">peter.schober@univie.ac.at</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">* Sander Maijers <<a href="mailto:s.n.maijers@gmail.com" target="_blank">s.n.maijers@gmail.com</a>> [2015-10-21 16:54]:<br>
> What is the reasoning behind the fact that the warning at the top of<br>
> generated SAML metadata produced by the Metadata Generation Handler cannot<br>
> be removed (at least, apparently)?<br>
<br>
First and formost, an unsigned SAML Metadata document is just a plain<br>
text file. Noone should be bootstrapping trust in endpoints and<br>
crypographic material (public keys) based on automatically downloading<br>
(and regularly re-downloading) plain text files over the Internet.<br></blockquote><div> </div><div>What do you mean with this comment? Whether XML data is signed or not has no influence on its syntax (XML vs. plain) or confidentiality (encrypted vs. plain). I take it you refer to the authentication and message integrity of the communication channel when one uses the Metadata Generation Handler as primary source of SAML metadata about an SP. </div><div><br></div><div>First of all, out-of-band SAML metadata distribution is not by definition secure or more secure than this. In fact, I've never seen anyone do something close to thorough out-of-band authentication of providers of SAML metadata batches. Out-of-band SAML message integrity checking using signed SAML metadata batches is the main alternative I suppose you're preferring. It follows that using the Metadata Generation Handler does not of necessity lower authentication and/or message integrity security compared to the alternative. Moreover, there is no fundamental reason why the Metadata Generation Handler could not put out signed SAML metadata in a way that does not increase DoS risk, even if that would not be the case for Shibboleth SP at this time. In the meantime, there are of course many other security mechanisms available to deliver authentication and message integrity, insofar needed. E.g. TLS, DNSSEC and pinning.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
Also, this handler mirrors the current software configuration, but<br>
sometimey you need current configuration to be different from<br>
published SAML Metadata. E.g. during key rollover you might want to<br>
configure support for a new key in the software without immediately<br>
publishing that key.<br></blockquote><div><br></div><div>Why? Of course it depends on the consumer of SAML metadata from the Metadata Generation Handler endpoint how quick it is subsequently processed, and on what basis SAML metadata mutations will be accepted. It seems that the current warning and your opinion does not consider the full possible context of circumstances. The warning I ask about says:</div><div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">This is example metadata only. Do *NOT* supply it as is without review, and do *NOT* provide it in real time to your partners.</blockquote><div><br></div><div>This wording implies that this metadata has by definition the status of ‘example’ metadata, which does not do justice to the fact that the metadata may in fact have been carefully reviewed and generated from a sufficiently complete template. Secondly, whether an SP provides it ‘in real time’ is disconnected from the question whether it will be consumed immediately or unchecked by partners. </div></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
Finally, the provided Metadata will almost certainly be incomplete,<br>
i.e., you will need to add more data to it before publishing.<br>
Stuffing all of that into the SP software only that a built-in<br>
web-server can push it our again does not make a lot of sense.<br></blockquote><div><br></div><div>What would be missing if you use a complete template?<br></div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">
<span><font color="#888888">-peter<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div><div class="gmail_extra">Best,</div><div class="gmail_extra">Sander</div></div>