<div dir="ltr"><div class="gmail_default" style="font-family:courier new,monospace"><br></div><div class="gmail_extra"><br clear="all"><div><div class="gmail_signature"><div dir="ltr"><font face="courier new, monospace">Jeffrey <div class="gmail_default" style="font-family:courier new,monospace;display:inline">​C.​</div><br></font><div><font face="courier new, monospace"><br></font></div><div><font face="courier new, monospace">Both pilots and IT professionals require training and currency before charging into clouds!<br></font></div><div><font face="courier new, monospace">---------------------------------------</font></div></div></div></div>
<br><div class="gmail_quote">On Mon, Apr 25, 2016 at 10:26 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">> We've been getting increasing complaints, especially from mobile users that<br>
> move between 4G/3G and wifi, that they are loosing their IdP SSO sessions.<br>
<br>
</span>The consequence being (leaving logout aside) that they have to login more, but nothing actually breaks, right?<br></blockquote><div><div class="gmail_default" style="font-family:courier new,monospace;display:inline">​Correct, people are just annoyed ;).​</div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<span class=""><br>
> Therefore I've been asked to get some concrete data about how much<br>
> security consistentAddress adds to the IdP sessions, or in other words how<br>
> much security we lose be disabling it.<br>
<br>
</span>I think unbound cookies are an incredibly vulnerable session token. I don't know enough about the security implications of HTML Local Storage, so it's possible that using that for session storage could obviate some of the threats, but I think that would depend on other factors, such as whether the container session was bound or not.<br>
<br>
I can only speak for myself, but "inconvenience" would not come anywhere near my threshold for unbinding them, and I'm pretty sure my security people would back that view.<br>
<br>
It's fair to say that the problems with logout might change that view, but since I think the typical result for logout is going to be failure anyway, it doesn't seem like enough of an argument to me.<br></blockquote><div><div class="gmail_default" style="font-family:courier new,monospace;display:inline">​Thanks, so it does have a real security implication is what you're saying. (I'm not sure if I'll need details but it impacts security significantly is a viable answer.)​</div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<span class="HOEnZb"><font color="#888888"><br>
-- Scott<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a><br>
</font></span></blockquote></div><br></div></div>