<div dir="ltr"><div class="gmail_default" style="font-family:courier new,monospace"><br></div><div class="gmail_extra"><br clear="all"><div><div class="gmail_signature"><div dir="ltr"><font face="courier new, monospace">Jeffrey E. Crawford<br>ITS Application Administrator (IdM)<br>831-459-4365<br><a href="mailto:jeffreyc@ucsc.edu" target="_blank">jeffreyc@ucsc.edu</a></font><div><font face="courier new, monospace"><br></font></div><div><font face="courier new, monospace">Both pilots and IT professionals require training and currency before charging into clouds!<br></font></div><div><font face="courier new, monospace">---------------------------------------</font></div></div></div></div>
<br><div class="gmail_quote">On Mon, Apr 25, 2016 at 11:15 AM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><span class="">> ​Thanks, so it does have a real security implication is what you're saying. (I'm<br>
> not sure if I'll need details but it impacts security significantly is a viable<br>
> answer.)​<br>
<br>
</span>I don't believe browsers meaningfully protect cookies at this point, given the intentional circumvention of same-origin policy as a routine development strategy, the amount of malware on machines, etc. YMMV and I'm sure others' do.<br>
<br>
The cookie plus the stored data associated with it is the only thing securing a session with the IdP and that's what provides SSO. If the stored data is on the server, then the cookie is a longish-lived bearer token and the only theft mitigation is client address.<br></blockquote><div><div class="gmail_default" style="font-family:courier new,monospace;display:inline">​Can you elaborate on "stored data is on the server"? would this be "idp.session.StorageService = shibboleth.StorageService"<br></div></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<br>
If Local Storage is equally vulnerable to theft, which is likely, then having that data on the client doesn't affect this risk much.<br></blockquote><div><div class="gmail_default" style="font-family:courier new,monospace;display:inline">​Would this be the case if server being set to "idp.session.StorageService = shibboleth.ClientSessionStorageService"</div></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
<div class=""><div class="h5"><br>
-- Scott<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.net</a></div></div></blockquote></div><br></div></div>