<div dir="ltr"><div><div><div><div>> if you are not<br>> using the client-side storage implementation, is it still a security requirement<br>> to regularly rotate the DataSealer key?<br><br></div>It is funny how I was going to ask the same question. <br><br></div>So, Scott, if I have session disabled, I understand that I should not worry about the keys rotation. Is my understanding correct?<br><br></div>Thanks,<br></div>Kirill<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Mar 8, 2016 at 5:27 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> I wasn't planning on using client-side storage, so I didn't think I needed the<br>
> DataSealer keys and commented them out of the configuration and the<br>
> properties file. After that, the idp failed to initialize and I determined that<br>
> there were a number of configuration files that reference the DataSealer<br>
> implementation. Is it a hard dependency to have the DataSealer<br>
> key/password configured and the files present even if you are not using<br>
> client-side storage? Is it used for anything else; in particular, if you are not<br>
> using the client-side storage implementation, is it still a security requirement<br>
> to regularly rotate the DataSealer key?<br>
<br>
</span>A lot of the early-defined properties and components were hardwired into Spring before I had a better handle on things, and I think in this particular case the trick is marking them lazy-init. But there are a lot of beans that use it, some of which are probably hard to avoid the initialization of even if they don't end up getting used.<br>
<br>
Based on a search, the list of use cases is:<br>
<br>
- client-side storage (*)<br>
- crypto strategy for transient IDs (*)<br>
- serialization of passwords saved into authentication results<br>
- a logout dependency that I think is baked in but not actually being used (think this is just a bug)<br>
<br>
(*) used by default<br>
<br>
I would suggest filing a bug and we can maybe figure out how to get everything to start up safely if none of the features are being used.<br>
<br>
The one that may be trouble is the third one, because that's sitting in a list of principal serializers and I'm not sure if it can be made optional, will have to play with it.<br>
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
</font></span><div class="HOEnZb"><div class="h5"><br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</div></div></blockquote></div><br></div>