<div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr">I'm trying JAAS+krb5 backed authentication on a few of our non-prod IDPs, and something very strange is happening... it doesn't actually seem to be doing password validation.  It accepts any provided password as valid for any user.  If the principal given exists in our LDAP store, it gets attributes.  If it doesn't, it just logs the user in.  What the what?<div><div><br></div><div><div>2019-03-26 18:57:03,471 - 141.213.171.216 - DEBUG [net.shibboleth.idp.authn.impl.ValidateUsernamePasswordAgainstJAAS:244] - Profile Action ValidateUsernamePasswordAgainstJAAS: Attempting to authenticate user 'xxx.xxx.xxx.xxx' via 'ShibUserPassAuth'</div><div>2019-03-26 18:57:03,471 - 141.213.171.216 - DEBUG [net.shibboleth.idp.authn.impl.ValidateUsernamePasswordAgainstJAAS:340] - Profile Action ValidateUsernamePasswordAgainstJAAS: Using custom JAAS configuration type JavaLoginConfig with parameters of type java.security.URIParameter</div><div>2019-03-26 18:57:03,483 - 141.213.171.216 - INFO [net.shibboleth.idp.authn.impl.ValidateUsernamePasswordAgainstJAAS:247] - Profile Action ValidateUsernamePasswordAgainstJAAS: Login by 'xxx.xxx.xxx.xxx' via 'ShibUserPassAuth' succeeded</div></div></div><div><br></div><div>Nonexistant principals look exactly the same.</div><div><br></div><div>Here's our jaas.config...</div><div><br></div><div><div>ShibUserPassAuth {</div><div>    com.sun.security.auth.module.Krb5LoginModule required</div><div>        refreshKrb5Config=true</div><div>        useKeyTab=true</div><div>        keyTab="/usr/local/mcomm/shibboleth-idp/credentials/keytab"</div><div>        storeKey=true</div><div>        principal="HTTP/<a href="mailto:shibboleth.umich.edu@UMICH.EDU">shibboleth.umich.edu@UMICH.EDU</a>"</div><div>        doNotPrompt=true;</div><div>};</div><div><br></div><div>If password-authn-config.xml is set to use the krb5 backend, invalid passwords are rejected, as expected.  So.. I don't think this is due to our mfa config or intercept flows, etc.</div><div><br></div><div><div>I cannot replicate it with the sql-backed JAAS mechanism that we're developing.  </div>I have not yet tried with an LDAP backed JAAS config.</div><div><br></div><div>I stripped back our branding, our extra intercept flows, and the addition of the OIDC extension.  I'll try it on vanilla install (with enough config to authenticate), but this is baffling.</div><div><br></div><div>Any ideas?  <br></div><div><br></div><div>Liam</div><div><br></div></div></div></div></div></div></div>