<div dir="ltr"><div><div><div>Tom:<br><br></div>Thank you very much.  However, the reason I wasn't able to provide more info is because that's all I've got ... unable to decode incoming request, followed by the opensaml error and finally another entry that says unable to decode request, error must be handled locally.  This is from a system where the logging level is turned up to debug, so there's really nothing else: no encrypted request, no attempts to decrypt it.  Do you know of anything other tools to capture that data (not SAML tracer ... already tried and there was nothing there)?<br><br></div>Thanks again,<br></div>Mike<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Mar 13, 2018 at 12:38 PM, Tom Scavo <span dir="ltr"><<a href="mailto:trscavo@gmail.com" target="_blank">trscavo@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">On Tue, Mar 13, 2018 at 12:19 PM, Tom Scavo <<a href="mailto:trscavo@gmail.com">trscavo@gmail.com</a>> wrote:<br>
><br>
> On Tue, Mar 13, 2018 at 11:43 AM, Michael Dahlberg <<a href="mailto:olgamirth@gmail.com">olgamirth@gmail.com</a>> wrote:<br>
>><br>
>> I've<br>
>> checked the X509 cert in their metadata and it looks good.  Are there any<br>
>> other reasons why the IdP would be unable to decode the request?<br>
><br>
> You don't give enough information for me to be sure but my guess is<br>
> that the IdP is rejecting a signature based on the SHA-1 digest<br>
> algorithm.<br>
<br>
</span>You can easily check this by inspecting the signature itself (not the<br>
signing certificate in metadata). What are the values of the following<br>
attributes in the signed AuthnRequest?<br>
<br>
@SignatureMethod<br>
@DigestMethod<br>
<br>
If the value of either attribute indicates SHA-1, that is your<br>
problem. The easiest thing to do is just stop signing the request.<br>
<div class="HOEnZb"><div class="h5"><br>
Tom<br>
--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div>