<div dir="ltr">For cross reference I believe this is the same underlying issue I was asking about in my thread "Manually force Shibboleth SP to expire/invalidate all sessions."</div><div class="gmail_extra"><br clear="all"><div><div class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><span style="font-size:12.8px">--Tom Noonan II</span><br></div></div></div></div></div></div>
<br><div class="gmail_quote">On Wed, Feb 21, 2018 at 11:57 AM, Scott Koranda <span dir="ltr"><<a href="mailto:skoranda@gmail.com" target="_blank">skoranda@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hello,<br>
<br>
Yesterday LIGO took part in a tabletop federated security incident<br>
response drill.<br>
<br>
As part of the drill LIGO received notification from an IdP operator<br>
that a compromised federated identity was used to authenticate and then<br>
push a SAML assertion to one of our SPs.<br>
<br>
Coordination between the IdP operator and the LIGO security team allowed<br>
the SP operator to determine details of the assertion and then verify<br>
using the SP transaction.log that the bad actor still had a valid<br>
session with the SP.<br>
<br>
Different SPs require different security postures. For certain SPs we<br>
would have immediately shut down the application and the SP. For others<br>
we would have bounced the SP to kill all active sessions. For low risk<br>
SPs it would be desirable to terminate the particular session that is<br>
active for the bad actor and only that session, especially if we knew<br>
that the ability to re-authenticate at the IdP and force a new flow had<br>
been blocked.<br>
<br>
Given a session ID from the transaction log (eg.<br>
_<wbr>ae7b9914292d19c02b6b632edc5e93<wbr>83 with applicationId 'default' from<br>
AssertionID 'id-KS2cElqrTQ12UzCVm') is it possible to administratively<br>
terminate the SP session, preferably from the command line?<br>
<br>
If not, will you entertain a feature request for such capability?<br>
<br>
Thanks,<br>
<br>
Scott K for LIGO<br>
<span class="HOEnZb"><font color="#888888">--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</font></span></blockquote></div><br></div>