<div dir="ltr"><div dir="ltr">On Thu, Jul 30, 2020 at 10:27 AM Peter Schober <<a href="mailto:peter.schober@univie.ac.at">peter.schober@univie.ac.at</a>> wrote:<br></div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">* Raymond DeCampo <<a href="mailto:ray@decampo.org" target="_blank">ray@decampo.org</a>> [2020-07-30 15:46]:<br>
> I am new to SAML and I would like to understand why you say no-one<br>
> should use the sample IdP metadata from Shibboleth?<br>
<br>
Well, it's unsigned and even if it were signed it doesn't have a<br>
useful validUntil value and even if it did have one there's no process<br>
included out of the box to regularly push that date a few days/weeks<br>
into the future.<br>
<br>
As it is it's a plain text file with cryptographic keys in it.<br>
Are you suggesting that it's a wise practice to blindly trust<br>
cryptographic material downloaded automatically over thet network --<br>
as these keys are later used to verify protocol messages?<br></blockquote><div><br></div><div>I'm not suggesting anything, I'm new at this and I'm trying to learn best practices.</div><div><br></div><div>But we seem to have a misunderstanding.  When I say I was using the sample metadata file, I did not mean I was downloading the file from the Shibboleth server nor did I configure my SP to download the metadata.  I mean I started with that file, made a few edits as noted and transferred the file to my SP configuration using SFTP.</div><div><br></div><div>So when you said no-one should use it, I thought you meant there was something about the contents or configuration choices of the metadata within the file itself whereas if I understand you correctly, you were objecting to the means of obtaining the metadata.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
Are you doing that in other contexts, e.g. automatically downloading<br>
(and trusting, without human intervention) a list of CA certificates?<br>
That's what pointing some SAML implementation to your IDP's metadata<br>
endpoint comes down to. Anyone able to subvert TLS to that endpoint<br>
would be able to introduce different key material which could<br>
ultimately be used to "verify" fraudulent protocol messages (i.e.,<br>
essentially impersonate anyone at your IDP).<br><br></blockquote><div><br></div><div>That is a good reason not to download the metadata directly from the server and I will keep that in mind. </div><div><br></div><div>Thanks for your help Peter.</div><div><br></div></div></div>