<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

  </head>

  <body text="#000000" bgcolor="#FFFFFF">

    <p><br>

    </p>

    <div class="moz-cite-prefix">On 4/18/19 1:37 PM, Steven Carmody

      wrote:<br>

    </div>

    <blockquote type="cite"

      cite="mid:f6ee4d14-c78f-af4b-5dca-c79b4ed255bc@brown.edu"><br>

      <br>

      I take that to mean that the authN Request was signed, and that

      the IDP is not relying on the SP creating the TLS tunnel using the

      SPs private key -- am I right about that ?

      <br>

    </blockquote>

    <p><br>

    </p>

    <p>Yes, there is a Redirect binding signature, and the logs

      indicated it validated successfully.  <br>

    </p>

    <p>This is a front-channel binding request, so there of course isn't

      any direct TLS channel between the SP and the IdP, b/c the browser

      is sitting in the middle of the exchange.  So this can't be SP

      doing clientTLS to the IdP, etc.<br>

    </p>

    <p><br>

    </p>

    <blockquote type="cite"

      cite="mid:f6ee4d14-c78f-af4b-5dca-c79b4ed255bc@brown.edu">

      <br>

      Here's the actual request sent by the SP:

      <br>

    </blockquote>

    <p><br>

    </p>

    <p>The SigAlg and Signature query params there indicate it is signed

      via the Redirect binding, with RSA-SHA256.<br>

    </p>

  </body>

</html>