<div dir="ltr"><div class="gmail_quote"><div class="GmSign">On Thu, Feb 9, 2017 at 10:11 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu">cantor.2@osu.edu</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">> shibboleth-mfa-u2f-auth appears to hook similar to Unicon's Duo<br class="gmail_msg">
> plugin, rather than Duo's own competing plugin. So it might work as is<br class="gmail_msg">
> with 3.3, but it's more at risk. (Duo's strategy was to sneakily<br class="gmail_msg">
> intercept Password without actually adding to idp.authn.flows, so<br class="gmail_msg">
> theirs works in 3.3.)<br class="gmail_msg">
<br class="gmail_msg">
Unicon's should work, but there's some kind of issue involving the webflow config hooking that probably led to the need to screw with the web.xml file, and the approach in general has some assumptions that probably work but just aren't really kosher. It's mostly moot at this point since that functionality is already present in 3.3.<br class="gmail_msg"></blockquote><div><br></div><div>Yes, the shibboleth-mfa-u2f-auth actually hooks into the webflow config, even though no modifications to web.xml is necessary for this plugin.</div><div><br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
> If you already have shibboleth-mfa-u2f-auth working with 3.2.1 then it<br class="gmail_msg">
> shouldn't be too hard to figure out how to switch the flow on or off<br class="gmail_msg">
> based on what UChicago and others did with shib-mfa-duo-auth.<br class="gmail_msg">
<br class="gmail_msg">
Far be it from me, if one thinks it's not too hard, have at it, it will still work. I don't share that opinion, so I'm just not going to try and help people do it anymore, if I ever did.<br class="gmail_msg">
<br class="gmail_msg"></blockquote><div><br></div><div>I agree that the plugin should support the recommended way of handling MFA.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
> - Make the existing shibboleth-mfa-u2f-auth work in 3.3.<br class="gmail_msg">
<br class="gmail_msg">
To be clear, I would like to add U2F support to 3.4, but all of the token-based options have a problem in that we need a token registration API or a solution, one of the two. I don't think we have any hope of establishing an API, so that leaves a solution, and doing a full UI and back-end for managing tokens is not hard but is not trivial work.<br class="gmail_msg"></blockquote><div><br></div><div>I'm going to rewrite the plugin to support the new MFA framework which seems to be the sensible thing to do here. The current plugin uses Yubico U2Fval as a back-end, even if the plugin is easily extended to any kind of back-end. It still requires a token management UI (app) though. I have an experimental branch allowing registration through a webflow in the IdP (purely for testing), but in my opinion the IdP should not have the role of token management.</div><div><br></div><div>Best regards,</div><div>Stefan </div></div></div>