<div dir="ltr"><div dir="ltr"><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">My idp-process.log is showing something odd.  Around the clock, about once an hour or so, there are a spate of dozens of "No flow execution could be found with key" errors in idp-process.log originating from the same IP address.  The keys start out with low numbers after the "e" (e.g. e4s1, maybe even e1s1 sometimes, not sure) but then rapidly increment by 1 and get up into numbers I don't see anywhere else (e54s1 and higher).  In a given day there will be several hundred of these from the same IP address, each time starting over with low numbers.</div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">In comparison, we see a couple dozen of these errors combined from all other IP addresses.  The key numbers are always low, and no one address accounts for more than a few errors.</div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">My original thought was that the client was probing (maliciously) to see if it could hijack an existing flow, so we blocked that IP address at the border.  It turns out that the IP address is for a home system owned by one of our CS professors.  The professor specializes in networking and current interest is with self-healing networks for the home.  In other words, there could be some unusual software in play, potentially unique to this individual.</div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">The term just ended last week and professors are turning in grades.  We removed the IP block at the border because we know the block is work-affecting and we don't know that the behavior actually malicious.<br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">I do not have a good grasp of Spring web flows, so I don't know how likely it is that something is happening so that the IdP is generating all these flows in rapid succession (possibly a misconfiguration on our part); that something on the client end is trying to hijack an existing flow; or something else.</div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">Thoughts?  If there's malware on the faculty member's computer, I want to get that addressed.  Otherwise, I'll stop worrying about it for now, as I have a project coming up that I expect will likely include an IdP configuration review by Unicon.</div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)"><br></div><div class="gmail_default" style="font-family:"trebuchet ms",sans-serif;font-size:small;color:rgb(7,55,99)">Thanks, -Les</div><div><div dir="ltr" class="gmail_signature"><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><br><hr style="color:rgb(0,0,0);font-family:"times new roman","new york",times,serif;font-size:16px"><div style="color:rgb(0,0,0);font-family:"times new roman","new york",times,serif;font-size:16px;text-align:right"><span size="2" style="color:rgb(153,102,51);font-size:small">Les LaCroix '79 </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> </span><span size="2" style="color:rgb(153,102,51);font-size:small">Strategic Technologist<br></span><span size="2" style="color:rgb(153,102,51);font-size:small">Carleton College </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> 1 N. College St. </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> MS 3-ITS </span><span style="color:rgb(153,102,51)">|</span><span size="2" style="color:rgb(153,102,51);font-size:small"> Northfield, MN 55057<br></span><span size="2" style="color:rgb(153,102,51);font-size:small">507.222.5455 | <a href="https://calendar.google.com/calendar/embed?src=llacroix%40carleton.edu&ctz=America/Chicago" target="_blank">free/busy</a></span></div></div></div></div></div></div></div></div></div></div></div></div></div></div>